LangChain 核心 < 0.3.81 / 1.x < 1.2.5
high Nessus Plugin ID 344295
語言:
概要
遠端主機受到一個弱點影響。說明
LangChain 是一個用於構建代理和 LLM 驅動的應用程序的框架。在 0.3.81 版本和 1.2.5之前，LangChain 的 dumps（） 和 dumpd（） 函式中存在序列化插入弱點。序列化自由格式字典時，函式不會逸出具有 'lc' 索引鍵的字典。LangChain 內部使用「lc」金鑰來標記序列化物件。當使用者控制的資料包含此金鑰結構時，在還原序列化期間會將其視為合法的 LangChain 物件，而不是純使用者資料。此問題已在 0.3.81 和 1.2.5 版本中修復。請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 LangChain-Core 版本 或1.2.5更新版本0.3.81。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 344295
檔案名稱: langchain-core_CVE-2025-68664.nasl
版本: 1.2
類型: Local
已發布: 2026/9/9
已更新: 2026/9/10
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.2
百分位數: 96.59
CVSS v2
風險因素: High
基本分數: 8.5
時間性分數: 6.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:P/A:N
CVSS 評分資料來源: CVE-2025-68664
CVSS v3
風險因素: High
基本分數: 8.2
時間性分數: 7.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:langchain:langchain-core
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2025/12/23
弱點發布日期: 2025/12/23
參考資訊
CVE: CVE-2025-68664
CWE: 502