جزئیات آسیب‌پذیری
CVE-2025-65106
langchain-ai langchain
LangChain Vulnerable to Template Injection via Attribute Access in Prompt Templates
CVSS 4.0
8.3بالا
شرح رسمی (انگلیسی)
LangChain is a framework for building agents and LLM-powered applications. From versions 0.3.79 and prior and 1.0.0 to 1.0.6, a template injection vulnerability exists in LangChain's prompt template system that allows attackers to access Python object internals through template syntax. This vulnerability affects applications that accept untrusted template strings (not just template variables) in ChatPromptTemplate and related prompt template classes. This issue has been patched in versions 0.3.80 and 1.0.7.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.3بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| langchain-ai | langchain | < 0.3.80 | CVEProject cvelistV5 (CNA) |
| langchain-ai | langchain | >= 1.0.0, < 1.0.7 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/langchain-ai/langchain/security/advisories/GHSA-6qv9-48xg-fc7f x_refsource_CONFIRM
- https://github.com/langchain-ai/langchain/commit/c4b6ba254e1a49ed91f2e268e6484011c540542a x_refsource_MISC
- https://github.com/langchain-ai/langchain/commit/fa7789d6c21222b85211755d822ef698d3b34e00 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۹/۰۱
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۹/۰۱
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۵۲٪
احتمال بهره‌برداری در ۳۰ روز
۴۴٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-1336Improper Neutralization of Special Elements Used in a Template Engine