LangChain — это платформа для создания приложений на базе LLM. До версий @langchain/core 0.3.80 и 1.1.8 и до версий langchain 0.3.37 и 1.2.3 существовала уязвимость внедрения сериализации в методе toJSON() LangChain JS (и впоследствии при преобразовании строк в объекты с помощью JSON.stringify(). Этот метод не экранировал объекты с ключами 'lc' при сериализации данных свободной формы в kwargs.
Используется ключ 'lc'). внутренне с помощью LangChain для маркировки сериализованных объектов. Когда данные, контролируемые пользователем, содержат эту структуру ключей, во время десериализации они рассматриваются как законный объект LangChain, а не как простые пользовательские данные. Эта проблема исправлена в версиях @langchain/core 0.3.80 и 1.1.8, а также версиях langchain 0.3.37 и 1.2.3.
Показать оригинальное описание (EN)
LangChain is a framework for building LLM-powered applications. Prior to @langchain/core versions 0.3.80 and 1.1.8, and prior to langchain versions 0.3.37 and 1.2.3, a serialization injection vulnerability exists in LangChain JS's toJSON() method (and subsequently when string-ifying objects using JSON.stringify(). The method did not escape objects with 'lc' keys when serializing free-form data in kwargs. The 'lc' key is used internally by LangChain to mark serialized objects. When user-controlled data contains this key structure, it is treated as a legitimate LangChain object during deserialization rather than plain user data. This issue has been patched in @langchain/core versions 0.3.80 and 1.1.8, and langchain versions 0.3.37 and 1.2.3
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 4
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Langchain Langchain.Js
cpe:2.3:a:langchain:langchain.js:*:*:*:*:*:*:*:*
|
— |
0.3.37
|
|
Langchain Langchain.Js
cpe:2.3:a:langchain:langchain.js:*:*:*:*:*:*:*:*
|
1.0.0
|
1.2.3
|
|
Langchain Langchain\/Core
cpe:2.3:a:langchain:langchain\/core:*:*:*:*:*:node.js:*:*
|
— |
0.3.80
|
|
Langchain Langchain\/Core
cpe:2.3:a:langchain:langchain\/core:*:*:*:*:*:node.js:*:*
|
1.0.0
|
1.1.8
|