CVE-2025-68664

إصدارات LangChain الأقدم من 0.3.81 و1.2.5

تتعرض الدالتان dumps() وdumpd() في LangChain لمشكلة حقن التسلسل. لا تقوم هذه الوظائف بتشفير القواميس التي تحتوي على المفاتيح ’lc‘ بشكل صحيح عند تسلسل البيانات. يستخدم LangChain المفتاح ’lc‘ داخليًا لتعريف الكائنات المتسلسلة. وعندما تتضمن البيانات التي يتحكم فيها المستخدم بنية المفتاح هذه، يتم التعامل معها بشكل خاطئ على أنها كائن شرعي تابع لـ LangChain أثناء عملية فك التسلسل، بدلاً من التعرف عليها كبيانات بسيطة خاصة بالمستخدم. قد يؤدي ذلك إلى استخراج معلومات حساسة، مثل متغيرات البيئة، وربما يسمح بتنفيذ تعليمات برمجية عشوائية. وتعد هذه الثغرة خطيرة بشكل خاص عندما تؤثر استجابات نماذج اللغة الكبيرة (LLM) على البيانات المسلسلة، حيث يمكن استخدام حقن المطالبة لاستغلال هذا الخلل. تؤثر المشكلة على عدة مكونات، بما في ذلك astream events(version=”v1“) وRunnable.astream log()، بالإضافة إلى السيناريوهات التي تنطوي على إزالة التسلسل من البيانات غير الموثوقة.

قم بالتحديث إلى إصدار LangChain 0.3.81 أو 1.2.5 أو أحدث.