JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2025-024617 LangChainはLLM搭載アプリケーションを構築するためのフレームワークです。@langchain/coreのバージョン0.3.80および1.1.8以前、ならびにlangchainのバージョン0.3.37および1.2.3以前において、LangChain JSのtoJSON()メソッド（およびその後のJSON.stringify()を用いたオブジェクトの文字列化）にシリアライズインジェクションの脆弱性が存在していました。このメソッドはkwargs内の自由形式データをシリアライズする際に、'lc'キーを持つオブジェクトをエスケープしていませんでした。'lc'キーはLangChain内部でシリアライズされたオブジェクトを示すために使用されます。ユーザー制御のデータにこのキー構造が含まれている場合、デシリアライズ時に単なるユーザーデータではなく正当なLangChainオブジェクトとして扱われてしまいます。この問題は@langchain/coreのバージョン0.3.80および1.1.8、langchainのバージョン0.3.37および1.2.3で修正されています。 cpe:/a:langchain:langchain%2Fcore cpe:/a:langchain:langchain.js https://jvndb.jvn.jp/ja/contents/2025/JVNDB-2025-024617.html Common Vulnerabilities and Exposures (CVE) CVE-2025-68665 https://www.cve.org/CVERecord?id=CVE-2025-68665 National Vulnerability Database (NVD) CVE-2025-68665 https://nvd.nist.gov/vuln/detail/CVE-2025-68665 GitHub Advisory Database LangChain serialization injection vulnerability enables secret extraction Advisory langchain-ai/langchainjs GitHub https://github.com/langchain-ai/langchainjs/security/advisories/GHSA-r399-636x-v7f6 JVNDB CWE-502 https://cwe.mitre.org/data/definitions/502.html 関連文書 Release @langchain/core@1.1.8 langchain-ai/langchainjs GitHub https://github.com/langchain-ai/langchainjs/releases/tag/%40langchain%2Fcore%401.1.8 関連文書 Release langchain@1.2.3 langchain-ai/langchainjs GitHub https://github.com/langchain-ai/langchainjs/releases/tag/langchain%401.2.3 関連文書 fix!(core/langchain): hardening for `load` (#9707) langchain-ai/langchainjs@e5063f9 GitHub https://github.com/langchain-ai/langchainjs/commit/e5063f9c6e9989ea067dfdff39262b9e7b6aba62 2026-01-15T16:17:23+09:00 2026-01-15T16:17:23+09:00