There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - LangChain is a framework for building agents and LLM-powered applications. Prior to versions 0.3.81 and
    1.2.5, a serialization injection vulnerability exists in LangChain's dumps() and dumpd() functions. The
    functions do not escape dictionaries with 'lc' keys when serializing free-form dictionaries. The 'lc' key
    is used internally by LangChain to mark serialized objects. When user-controlled data contains this key
    structure, it is treated as a legitimate LangChain object during deserialization rather than plain user
    data. This issue has been patched in versions 0.3.81 and 1.2.5. (CVE-2025-68664)

LangChain 是一個用於構建代理和 LLM 驅動的應用程序的框架。在 0.3.81 版本和 1.2.5之前，LangChain 的 dumps（） 和 dumpd（） 函式中存在序列化插入弱點。序列化自由格式字典時，函式不會逸出具有 'lc' 索引鍵的字典。LangChain 內部使用「lc」金鑰來標記序列化物件。當使用者控制的資料包含此金鑰結構時，在還原序列化期間會將其視為合法的 LangChain 物件，而不是純使用者資料。此問題已在 0.3.81 和 1.2.5 版本中修復。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

LangChain 是一个用于构建代理和 LLM 驱动的应用程序的框架。在 0.3.81 版本 和 1.2.5之前，LangChain 的 dumps（） 和 dumpd（） 函数中存在序列化注入漏洞。序列化自由格式字典时，函数不会使用“lc”键对字典进行转义。“lc”密钥由 LangChain 内部用于标记序列化对象。当用户控制的数据包含此密钥结构时，在反序列化过程中会将其视为合法的 LangChain 对象，而非普通用户数据。已在 0.3.81 和 1.2.5 中修补此问题。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

LangChainは、エージェントとLLMを活用したアプリケーションを構築するためのフレームワークです。バージョン 0.3.81 および 1.2.5 より前では、LangChain の dumps() および dumpd() 関数にシリアル化インジェクションの脆弱性が存在します。この関数は、自由形式の辞書をシリアル化する際に、「lc」キーのある辞書をエスケープしません。「lc」キーは、シリアル化されたオブジェクトをマークするためにLangChainによって内部的に使用されます。ユーザー制御データにこのキー構造が含まれている場合、逆シリアル化中にプレーンユーザーデータではなく正当なLangChainオブジェクトとして扱われます。この問題には、バージョン 0.3.81 および 1.2.5 でパッチが適用されています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

LangChain is a framework for building agents and LLM-powered applications. Prior to versions 0.3.81 and 1.2.5, a serialization injection vulnerability exists in LangChain's dumps() and dumpd() functions. The functions do not escape dictionaries with 'lc' keys when serializing free-form dictionaries. The 'lc' key is used internally by LangChain to mark serialized objects. When user-controlled data contains this key structure, it is treated as a legitimate LangChain object during deserialization rather than plain user data. This issue has been patched in versions 0.3.81 and 1.2.5.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
455528	Echo: langchain-core: security update to 0.3.81	Tenable Cloud Security	Echo Local Security Checks	2026/10/1	2026/10/5	high
455528	Echo: langchain-core: security update to 0.3.81	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/1	2026/10/5	high
436484	SCA: security update for langchain-core (GHSA-c67j-w6g6-q2cm)	Tenable Cloud Security	SCA Checks	2025/12/24	2026/7/30	high
436484	SCA: security update for langchain-core (GHSA-c67j-w6g6-q2cm)	Tenable Self-Hosted Container Security	SCA Checks	2025/12/24	2026/7/30	high
344295	LangChain 核心 < 0.3.81 / 1.x < 1.2.5	Nessus	Artificial Intelligence	2026/9/9	2026/9/10	high
344295	LangChain-Core < 0.3.81 / 1.x < 1.2.5	Nessus	Artificial Intelligence	2026/9/9	2026/9/10	high
344295	LangChainコア< 0.3.81 / 1.x < 1.2.5	Nessus	Artificial Intelligence	2026/9/9	2026/9/10	high
344295	LangChain-Core < 0.3.81 / 1.x < 1.2.5	Nessus	Artificial Intelligence	2026/9/9	2026/9/10	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high