Una vulnerabilità di server-side request forgery nel pacchetto community integrations di LangChain è stata pubblicata nella lista CVE il 20 agosto e il giorno successivo è arrivata nel database degli avvisi di GitHub. SitemapLoader.parse_sitemap applica il controllo documentato restrict_to_same_domain solo alle voci url foglia: il ciclo sugli elementi sitemap annidati non passa il vincolo, quindi un indice sitemap fornito dall'attaccante può indirizzare il loader verso host interni arbitrari. Poiché il contenuto recuperato viene analizzato nei Documenti restituiti, le risposte interne sono divulgate al chiamante, non semplicemente richieste.

La parte che lo rende insolito

L'avviso è etichettato "unsupported when assigned". Verificando direttamente il progetto: il repository langchain-ai/langchain-community è archiviato, l'ultimo push risale al 19 giugno 2026 e l'ultimo rilascio su PyPI è la 0.4.2, caricata il 22 maggio 2026. La pagina dell'avviso di GitHub indica come sconosciute le versioni interessate, come sconosciute le versioni corrette e non riporta alcun pacchetto. Il problema upstream che descrive esattamente questo bug è stato aperto il 12 luglio e chiuso come completato il 13 agosto — una settimana prima della comparsa del CVE.

Ciò che la cornice più comune sbaglia

Avvisi di questo tipo vengono spesso presentati come "patch now". Non c'è nulla da correggere. Un problema upstream chiuso in un repository archiviato non produce una release e l'avviso stesso non indica una versione corretta. La remediation corretta è smettere di usare il loader o limitarlo a livello di rete — non aggiornare. In secondo luogo, il punteggio di gravità citato non è quello dell'NVD: la pagina indica "NVD assessment not yet provided" e il punteggio 8.6 CVSS 3.1 proviene da VulnCheck, l'autorità assegnante, che separatamente lo valuta 7.7 in CVSS 4.0. Due punteggi, un vendor, nessuna valutazione indipendente.

Il problema strutturale

langchain-community era il pacchetto omnibus che raccoglieva centinaia di integrazioni di terze parti, ed è stato deprecato a favore di pacchetti autonomi. La deprecazione ha spostato in avanti la manutenzione; non ha spostato la base installata. Le vulnerabilità continueranno a emergere in codice ancora ampiamente importato e che non ha più un luogo in cui una correzione possa approdare. Questo è il primo CVE di rilievo sugli strumenti AI in cui la chiusura del ciclo di vita, non il bug, è la storia.