【漏洞预警】Langchain-Chatchat /tools/call 未认证即可执行命令（CVE-2026-75128）

发布日期： 2026 年 10 月 20 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-75128
涉及镜像： chatimage/chatchat — Docker Hub
CVSS： 9.8（Critical，CVSS 3.1）；CVSS 4.0 为 9.3
披露时间： 2026 年 10 月公开
相关公告： VulnCheck

---

一、漏洞概述

Langchain-Chatchat 是可以自托管的知识库问答应用。官方 Docker Hub 坐标是 chatimage/chatchat。

0.3.1.3 及更早，POST /tools/call 不校验身份，调用方可以按名称执行已经注册的工具。内置的 shell 工具始终处于注册状态，不受智能体侧 use 标志影响。未认证的远程攻击者因此可以执行任意操作系统命令。

官方镜像里该进程以 root 运行。知识库、数据库和模型 API Key 都在这台实例能碰到的范围内。

默认监听 0.0.0.0:7861。官方 Compose 常见 network_mode: host，端口一旦可达就可以尝试利用。

---

二、漏洞状态

统计截止： 2026 年 10 月 20 日（UTC+8）

---

三、影响范围

1. 版本与发行形态

Hub 上没有不带提交号的 0.3.1.3 标签。带日期后缀的 0.3.1.3-* 仍属于公告给出的受影响线。0.3.2-dev-* 是开发标签，不要把它当作安全发布。

2. 典型受影响场景

• 7861 对公网或办公网开放
• Compose 使用 network_mode: host，容器网络等于宿主机网络
• 实例里配置了知识库数据库和模型供应商的密钥

API 只在本机回环、前面又有自己的认证时，远程未认证利用面会小一些。接口本身在修复前仍然不校验身份。

---

四、修复建议

1. 目前没有可升级到的修复版

公开渠道最新仍不超过 0.3.1.3。不要为这条公告去拉取 chatimage/chatchat 的现有标签，也不要改拉腾讯云上的同名坐标来代替修复。

上游发布明确高于 0.3.1.3 的修复版之后，再固定到该标签并重建容器。

Docker Hub： chatimage/chatchat

2. 立刻缩小暴露面（推荐）

1. 撤掉 7861 对公网的发布。使用 network_mode: host 的，先改成只绑定本机或可信内网。
2. 在修复版出现之前，如果必须继续给内网使用，在反向代理上加上自己的认证。代理认证不能代替产品补丁。
3. 7861 曾经对不可信网络开放的，按 root 命令可能已被执行处理：下线该容器，轮换知识库、数据库和模型 API Key，再用干净配置重建。

---

五、临时缓解措施

在修复版发布之前：

1. 不要把 7861 暴露到公网
   未认证即可调用已注册工具。

2. 不要用现有镜像标签滚动重启当作已修复
   0.3.1.3-* 与 0.3.2-dev-* 都没有被公告写成修复版。

3. 先换掉已经暴露过的密钥，再恢复服务
   官方镜像以 root 执行命令，容器里能读到的凭据都要轮换。

---

六、与轩辕镜像用户的相关说明

官方坐标是 Docker Hub 上的 chatimage/chatchat，也可以从 ccr.ccs.tencentyun.com/langchain-chatchat/chatchat 拉取同一产品。这两处都没有可确认的修复标签。

加速拉取不会去掉 /tools/call 的未认证执行。请先下线公网入口。配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• NVD：CVE-2026-75128
• Lasso：CVE-2026-75128
• VulnCheck：Langchain-Chatchat through 0.3.1.3
• Docker Hub：chatimage/chatchat

---

轩辕镜像安全团队
2026 年 10 月 20 日