Vulnerabilidade crítica no LangChain Core pode comprometer segredos
Uma falha de segurança crítica foi identificada no LangChain Core, um pacote Python essencial para aplicações que utilizam modelos de linguagem. A vulnerabilidade, classificada como CVE-2025-68664 e com um CVSS de 9.3, permite que atacantes explorem funções de serialização, como dumps() e dumpd(), para injetar dados maliciosos e potencialmente roubar segredos sensíveis. O problema reside na falta de escape de dicionários que contêm chaves ’lc’, que são usadas internamente pelo LangChain. Isso pode resultar na extração de segredos de variáveis de ambiente e na execução de código arbitrário. Para mitigar a vulnerabilidade, a equipe do LangChain lançou um patch que altera as configurações padrão, bloqueando a execução de templates Jinja2 e desativando a carga automática de segredos do ambiente. Além disso, uma falha semelhante foi encontrada no LangChain.js, com a CVE-2025-68665, que também permite a extração de segredos. Dada a gravidade da situação, os usuários são fortemente aconselhados a atualizar para versões corrigidas o mais rápido possível.