【漏洞预警】Langchain-Chatchat /tools/call 未认证即可执行命令（CVE-2026-75128）

Langchain-Chatchat 0.3.1.3 及更早，POST /tools/call 不需要认证即可按名称调用已注册工具。内置 shell 工具始终注册，官方镜像里以 root 执行任意系统命令（CVE-2026-75128，CVSS 3.1 为 9.8，CVSS 4.0 为 9.3）。公开标签仍在受影响范围内，没有已发布的修复版。请立刻不要把 7861 暴露到公网。