JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-017525 LangChainは、エージェントやLLM（大規模言語モデル）を活用したアプリケーションを構築するためのフレームワークです。バージョン0.3.85および1.3.3以前のLangChainには、実行時の入力、出力、または他のアプリケーション制御ペイロードを、過度に広範なオブジェクト許可リストを使ってデシリアライズする古いランタイムコードパスが含まれていました。これらのパスはallowed_objects="all"を使ってload()を呼び出す場合がありました。これは任意のPythonオブジェクトのデシリアライズを許可するわけではありませんが、信頼されたLangChainのシリアライズ可能な任意のオブジェクトが復元され得るため、これらのランタイムパスが必要とする範囲よりも広範です。その結果、攻撃者が提供したLangChainのシリアライズされたコンストラクタ辞書によって、信頼されたランタイムパスが信頼できないコンストラクタ引数でクラスのインスタンスを作成してしまう可能性があります。この脆弱性はバージョン0.3.85および1.3.3で修正されています。 cpe:/a:langchain:langchain https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-017525.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44843 https://www.cve.org/CVERecord?id=CVE-2026-44843 National Vulnerability Database (NVD) CVE-2026-44843 https://nvd.nist.gov/vuln/detail/CVE-2026-44843 GitHub Unsafe deserialization of attacker-controlled LangChain objects through overly broad `load()` allowlists Advisory langchain-ai/langchain GitHub https://github.com/langchain-ai/langchain/security/advisories/GHSA-pjwx-r37v-7724 JVNDB CWE-502 https://cwe.mitre.org/data/definitions/502.html 2026-06-03T17:01:16+09:00 2026-06-03T17:01:16+09:00