CVE-2025-68665

LangChain, framework do budowania agentów i aplikacji opartych na LLM, przed wersjami 0.3.81 i 1.2.5 zawiera podatność na iniekcję serializacji w funkcjach dumps() i dumpd(). Funkcje te nie escapują słowników z kluczami 'lc' podczas serializacji dowolnych słowników. Klucz 'lc' jest używany wewnętrznie przez LangChain do oznaczania serializowanych obiektów. Gdy dane kontrolowane przez użytkownika zawierają tę strukturę klucza, są traktowane jako prawowity obiekt LangChain podczas deserializacji, a nie jako zwykłe dane użytkownika.

Podatność w bibliotece LangChain w wersji 0.0.194 umożliwia zdalne wykonanie dowolnego kodu poprzez funkcje from_math_prompt i from_colored_object_prompt w klasie PALChain. Atakujący może wykorzystać mechanizm eval do wstrzyknięcia złośliwego kodu Python.

W LangChain przed wersją 0.0.236 występuje problem, który pozwala atakującemu na wykonanie dowolnego kodu. Możliwość wykorzystania funkcji os.system, exec lub eval w kodzie Pythona stwarza poważne zagrożenie.

Langchain w wersji 0.0.171 jest podatny na wykonanie dowolnego kodu w funkcji load_prompt.

LangChain przed wersją 1.3.1 nie wymusza w czasie działania typu string dla niezaufanego identyfikatora sesji w MongoDBChatMessageHistory, przez co identyfikator może być zinterpretowany jako warunek zapytania MongoDB zamiast wartości dosłownej. Atakujący mogący wywoływać operacje historii czatu może odczytać, zmodyfikować lub usunąć rozmowy innego użytkownika, gdy historie wielu użytkowników są przechowywane w współdzielonej kolekcji MongoDB.

Podatność w LangChain przed wersjami 0.3.85 i 1.3.3. Starsze ścieżki kodu deserializują dane wejściowe/wyjściowe z użyciem zbyt szerokich list dozwolonych obiektów, co pozwala atakującemu na przekazanie złośliwych słowników konstruktorów i utworzenie obiektów z niebezpiecznymi argumentami.

W bibliotece LangChain przed wersją 1.1.2 wykryto podatność SSRF w funkcji HTMLHeaderTextSplitter.split_text_from_url(). Mimo walidacji początkowego URL, przekierowania nie były sprawdzane, co pozwala atakującemu na dostęp do wewnętrznych zasobów sieciowych.

LangChain przed wersjami 0.3.84 i 1.2.28 ma niekompletną walidację szablonów f-string. Niektóre klasy szablonów (DictPromptTemplate, ImagePromptTemplate) formatowały szablony bez wymuszania walidacji dostępu do atrybutów, a walidacja oparta na nazwach pól nie odrzucała zagnieżdżonych pól w specyfikatorach formatu, co mogło prowadzić do ewaluacji wyrażeń w czasie formatowania.

Podatność w LangChain przed wersją 1.2.22 pozwala na odczyt dowolnych plików z systemu plików poprzez wstrzyknięcie ścieżki bezwzględnej lub typu directory traversal w konfiguracjach promptów. Atakujący może wykorzystać funkcje load_prompt() lub load_prompt_from_config() do odczytu plików, ograniczonych jedynie rozszerzeniami (.txt, .json, .yaml).

Podatność ReDoS w bibliotece LangChain do wersji 0.3.1 włącznie występuje w metodzie MRKLOutputParser.parse(). Atakujący może dostarczyć spreparowany tekst (np. przez wstrzyknięcie do promptu), który powoduje nadmierne zużycie CPU i opóźnienia w parsowaniu, prowadząc do odmowy usługi.