Una vulnerabilidad crítica en la biblioteca principal de LangChain (CVE-2025-68664) permite a los atacantes exfiltrar variables de entorno sensibles y, potencialmente, ejecutar código a través de fallos de deserialización.

Descubierta por un investigador de Cyata y parcheada justo antes de Navidad de 2025, el problema afecta a uno de los frameworks de IA más populares con cientos de millones de descargas.

Las funciones dumps() y dumpd() de LangChain-core no escapaban los diccionarios controlados por el usuario que contenían la clave reservada ‘lc’, la cual marca objetos serializados internos.

Esto llevó a la deserialización de datos no confiables (CWE-502) cuando las salidas del LLM o las inyecciones de prompts influenciaban campos como additional_kwargs o response_metadata, desencadenando ciclos de serialización-deserialización en flujos comunes como el streaming de eventos, el registro y el almacenamiento en caché. Una puntuación CVSS asignada por CNA de 9.3 lo califica como Crítico, con 12 patrones vulnerables identificados, incluyendo astream_events(v1) y Runnable.astream_log().

El investigador de seguridad de Cyata descubrió el fallo durante auditorías de límites de confianza de la IA, detectando la falta de escape en el código de serialización después de rastrear los sinks de deserialización.

Reportado a través de Huntr el 4 de diciembre de 2025, LangChain lo reconoció al día siguiente y publicó el asesoramiento el 24 de diciembre. Los parches se implementaron en las versiones 0.3.81 y 1.2.5 de langchain-core, que envuelven los diccionarios que contienen ‘lc’ y deshabilitan secrets_from_env por defecto, previamente habilitado, permitiendo filtraciones directas de variables de entorno. El equipo otorgó una recompensa récord de $4,000.

Los atacantes podrían crear prompts para instanciar clases permitidas como ChatBedrockConverse de langchain_aws, desencadenando SSRF con variables de entorno en las cabeceras para la exfiltración.

PromptTemplate permite el renderizado de Jinja2 para una posible ejecución remota de código (RCE) si se invoca después de la deserialización. La escala de LangChain amplifica el riesgo: pepy.tech registra aproximadamente 847 millones de descargas totales, pypistats alrededor de 98 millones el mes pasado.

Actualiza langchain-core inmediatamente y verifica las dependencias como langchain-community. Trata las salidas del LLM como no confiables, audita la deserialización en el streaming/registros y desactiva la resolución de secretos a menos que las entradas estén verificadas. Un fallo paralelo afectó a LangChainJS (CVE-2025-68665), lo que subraya los riesgos en la infraestructura de la IA agente.

Las organizaciones deben inventariar las implementaciones de agentes para una rápida clasificación en medio del auge de la adopción de aplicaciones LLM.