LangChain क्रमांकन इंजेक्शन भेद्यता dumps/loads APIs में गोपनीय जानकारी का निष्कर्षण सक्षम बनाती है
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:Nमध्यम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
LangChain एजेंटों और LLM-संचालित अनुप्रयोगों के निर्माण के लिए एक फ्रेमवर्क है। संस्करण 0.3.81 और 1.2.5 से पहले, LangChain के dumps() और dumpd() फ़ंक्शनों में एक सीरियलाइज़ेशन इंजेक्शन भेद्यता मौजूद है। ये फ़ंक्शन फ्री-फ़ॉर्म डिक्शनरी को सीरियलाइज़ करते समय 'lc' कुंजी वाले डिक्शनरी को एस्केप नहीं करते हैं। 'lc' कुंजी का उपयोग LangChain द्वारा आंतरिक रूप से सीरियलाइज़्ड ऑब्जेक्ट्स को चिह्नित करने के लिए किया जाता है। जब उपयोगकर्ता-नियंत्रित डेटा में यह कुंजी संरचना होती है, तो डी-सीरियलाइज़ेशन के दौरान इसे सामान्य उपयोगकर्ता डेटा के बजाय एक वैध LangChain ऑब्जेक्ट के रूप में माना जाता है। यह समस्या संस्करण 0.3.81 और 1.2.5 में ठीक कर दी गई है।
LangChain Core (<0.3.81) में डिसीरियलाइज़ेशन कमजोरियों की पहचान और प्रदर्शन के लिए एक परीक्षण ढांचा। केवल शैक्षणिक उपयोग के लिए।
विस्तृत खुलासा CVE-2025-68664 का, LangChain core में एक गंभीर डिसीरियलाइज़ेशन भेद्यता जो निर्मित प्रॉम्प्ट और सीरियलाइज़ेशन प्रवाहों के माध्यम से गुप्त जानकारी के बहिर्वाह और संभावित RCE की अनुमति देती है।
LangChain सीरियलाइज़ेशन इंजेक्शन भेद्यता CVE-2025-68664 का तकनीकी विश्लेषण।
banyamer · multiple · 29 अप्रैल 2026
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।