LangChainコア< 0.3.81 / 1.x < 1.2.5

high Nessus プラグイン ID 344295

Language:

概要

リモートホストは、脆弱性の影響を受けます。

説明

LangChainは、エージェントとLLMを活用したアプリケーションを構築するためのフレームワークです。バージョン 0.3.81 および 1.2.5 より前では、LangChain の dumps() および dumpd() 関数にシリアル化インジェクションの脆弱性が存在します。この関数は、自由形式の辞書をシリアル化する際に、「lc」キーのある辞書をエスケープしません。「lc」キーは、シリアル化されたオブジェクトをマークするためにLangChainによって内部的に使用されます。ユーザー制御データにこのキー構造が含まれている場合、逆シリアル化中にプレーンユーザーデータではなく正当なLangChainオブジェクトとして扱われます。この問題には、バージョン 0.3.81 および 1.2.5 でパッチが適用されています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。