tasani.ruВ экосистеме LangChain выявили опасную уязвимость, позволяющую злоумышленникам красть секретные данные, а также влиять на результаты работы языковых моделей с помощью промпт-инъекций. Проблема затрагивает пакет LangChain Core (langchain-core), являющийся основой для разработки приложений с LLM и отвечающий за интерфейсы и механизмы сериализации объектов. Уязвимость, получившая идентификатор CVE-2025-68664 и оценку 9,3 по CVSS, была озвучена 4 декабря 2025 года исследователем Ярденом Поратом и получила неофициальное название LangGrinch.
Ошибка связана с неправильной обработкой сериализации словарей с ключом lc, который используется LangChain для пометки своих объектов. Это приводит к тому, что при десериализации пользовательские данные воспринимаются как легитимные внутренние объекты. В итоге, злоумышленник может создать небезопасный объект, что может привести к утечкам секретов из переменных окружения или выполнению произвольного кода. Разработчики уже выпустили обновления, усиливающие безопасность библиотеки. Также аналогичная проблема была обнаружена в LangChain.js, для которой зарегистрирован идентификатор CVE-2025-68665. Пользователям настоятельно рекомендуется обновиться до безопасных версий.