В LangGraph нашли обход изоляции пространств имён через точки в метках

Уязвимость CVE-2026-115883 (CVSS 6.0) в хранилищах LangGraph для PostgreSQL и SQLite позволяет через метку с точкой выйти за границы пространства имён и читать, искать или удалять чужие данные. Проблема в том, что проверка меток была только при записи. Исправлено в langgraph 1.2.15, langgraph-checkpoint 4.3.0, langgraph-checkpoint-postgres 3.1.3 и langgraph-checkpoint-sqlite 3.1.2.

• CVSS 6.0: обход авторизации при чтении, поиске и удалении данных
• Метка вида ('foo.bar',) совпадает с ('foo', 'bar') и обходит изоляцию
• Патчи: langgraph 1.2.15 и langgraph-checkpoint 4.3.0
• PoC есть в регрессионных тестах PR #9217, в CISA KEV не внесена