CVE-2025-68664
La vulnerabilidad de inyección en la serialización de LangChain permite la extracción de secretos en las APIs dumps/loads
- Publicado
- 23 dic 2025
- Actualizado
- 24 dic 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 29 abr 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:NModerado · próximos 30 días
- Percentil
- 98,7 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
LangChain es un framework para crear agentes y aplicaciones impulsadas por LLM. Antes de las versiones 0.3.81 y 1.2.5, existe una vulnerabilidad de inyección de serialización en las funciones dumps() y dumpd() de LangChain. Estas funciones no escapan los diccionarios con claves 'lc' al serializar diccionarios de formato libre. La clave 'lc' se utiliza internamente en LangChain para marcar objetos serializados. Cuando los datos controlados por el usuario contienen esta estructura de clave, se tratan como un objeto legítimo de LangChain durante la deserialización en lugar de como datos de usuario comunes. Este problema se ha corregido en las versiones 0.3.81 y 1.2.5.
Fuentes
Un marco de pruebas para identificar y demostrar vulnerabilidades de deserialización en LangChain Core (<0.3.81). Solo para uso educativo.
- CVE-2025-68664Investigación
Divulgación detallada de CVE-2025-68664, una vulnerabilidad crítica de deserialización en el núcleo de LangChain que permite la exfiltración de secretos y potencial RCE a través de indicaciones manipuladas y flujos de serialización.
- langgrinch-cve-2025-68664-analysisInvestigación
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.