VULNERABILIDAD
CVE-2026-115885 Exposición del token de registro en la salida de langgraph deploy --verbose
En LangGraph CLI, desde la versión 0.4.15 hasta la 0.4.32, langgraph deploy --verbose pasa un token temporal de push del registro por entrada estándar a docker login --password-stdin, pero el helper de subprocesos imprime la entrada del comando en modo verbose. Quien pueda leer los logs de CI o grabaciones de terminal antes de la expiración máxima de 12 horas del token puede descargar o subir imágenes al repositorio de imágenes de ese despliegue. Se corrige en la versión 0.4.32.
Alerta de Nureq Monitor
Detectada 23 OCT · 21:08
CVSS 4.0
4.1MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 5
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-115885
En LangGraph CLI, desde la versión 0.4.15 hasta la 0.4.32, langgraph deploy --verbose pasa un token temporal de push del registro por entrada estándar a docker login --password-stdin, pero el helper de subprocesos imprime la entrada del comando en modo verbose. Quien pueda leer los logs de CI o grabaciones de terminal antes de la expiración máxima de 12 horas del token puede descargar o subir imágenes al repositorio de imágenes de ese despliegue. Se corrige en la versión 0.4.32.
Productos y versiones afectadas
langchain-ai langgraph
Qué hacer
- Verificá si usás langgraph y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 4.1 MEDIA
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Local
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Presentes
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Pasiva
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Ninguna
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Ninguna
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
The LangGraph CLI is the official command-line interface for LangGraph. From 0.4.15 until 0.4.32, langgraph deploy --verbose passes a temporary registry push token on standard input to docker login --password-stdin, but the CLI subprocess helper prints command input in verbose mode. Anyone who can read resulting CI logs or terminal recordings before the token's maximum 12-hour expiration can pull deployment images or push images to that deployment's image repository. Deployments without --verbose and remote image builds are not affected, and the token alone cannot update a deployment to execute a pushed image. This issue is fixed in version 0.4.32.
Referencias
- github.com/langchain-ai/langgraph/security/advisories/GHSA-8prr-f582-jqq3X_REFSOURCE_CONFIRM
- github.com/langchain-ai/langgraph/pull/8482X_REFSOURCE_MISC
- github.com/langchain-ai/langgraph/commit/1afaca35a0d4962fb0203a0e9133a07ffd6a553cX_REFSOURCE_MISC
- github.com/langchain-ai/langgraph/releases/tag/cli%3D%3D0.4.32.dev0X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.