CVE-2025-68664

Injection de Sérialisation dans LangChain

Une faille de sécurité, identifiée sous la référence CVE-2025-68664, a été découverte dans le framework LangChain. Elle concerne la manière dont les fonctions dumps() et dumpd() gèrent la sérialisation des données.

Points Clés :

• Nature de la vulnérabilité : Injection de sérialisation.
• Composant affecté : LangChain, dans les versions antérieures à 0.3.81 et 1.2.5.
• Cause : Les fonctions dumps() et dumpd() ne parviennent pas à échapper correctement les dictionnaires contenant la clé 'lc'. Cette clé est utilisée par LangChain pour identifier les objets sérialisés. Lorsque des données contrôlées par l’utilisateur incluent cette structure de clé, le système la considère à tort comme un objet LangChain légitime lors de la désérialisation.

Vulnérabilités :

• CVE-2025-68664 : Permet potentiellement l’exfiltration de variables d’environnement sensibles et l’exécution de code.

Recommandations :

• Mettre à jour LangChain vers la version 0.3.81 ou supérieure, ou vers la version 1.2.5 ou supérieure.

Source