https://blog.qife122.com/tags/cve-2025-65106/ Recent content in CVE-2025-65106 on 办公AI智能小助手 Hugo zh-cn qife Wed, 10 Dec 2025 07:19:05 +0800 https://blog.qife122.com/p/langchain%E6%A8%A1%E6%9D%BF%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E8%AF%A6%E8%A7%A3%E6%94%BB%E5%87%BB%E8%80%85%E5%8F%AF%E5%88%A9%E7%94%A8prompt%E6%A8%A1%E6%9D%BF%E8%AE%BF%E9%97%AEpython%E5%AF%B9%E8%B1%A1%E5%86%85%E9%83%A8/ Wed, 10 Dec 2025 07:19:05 +0800 https://blog.qife122.com/p/langchain%E6%A8%A1%E6%9D%BF%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E8%AF%A6%E8%A7%A3%E6%94%BB%E5%87%BB%E8%80%85%E5%8F%AF%E5%88%A9%E7%94%A8prompt%E6%A8%A1%E6%9D%BF%E8%AE%BF%E9%97%AEpython%E5%AF%B9%E8%B1%A1%E5%86%85%E9%83%A8/ <h1 id="langchain-vulnerable-to-template-injection-via-attribute-access-in-prompt-templates--cve-2025-65106--github-advisory-database">LangChain Vulnerable to Template Injection via Attribute Access in Prompt Templates · CVE-2025-65106 · GitHub Advisory Database</h1> <p><strong>严重性：高</strong> | <strong>GitHub已审核</strong> | <strong>发布日期：2025年11月19日</strong> | <strong>更新日期：2025年11月25日</strong></p> <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包</strong> pip: langchain-core</p> https://blog.qife122.com/p/langchain%E6%8F%90%E7%A4%BA%E6%A8%A1%E6%9D%BF%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2025-65106%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E4%B8%8E%E4%BF%AE%E5%A4%8D/ Thu, 04 Dec 2025 00:30:38 +0800 https://blog.qife122.com/p/langchain%E6%8F%90%E7%A4%BA%E6%A8%A1%E6%9D%BF%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2025-65106%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E4%B8%8E%E4%BF%AE%E5%A4%8D/ <h1 id="langchain-因提示模板中的属性访问而易于受到模板注入攻击--cve-2025-65106--github-咨询数据库">LangChain 因提示模板中的属性访问而易于受到模板注入攻击 · CVE-2025-65106 · GitHub 咨询数据库</h1> <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包</strong>: pip <code>langchain-core</code> (pip)</p> <p><strong>受影响版本</strong>:</p> <ul> <li><code>&gt;= 1.0.0, &lt;= 1.0.6</code></li> <li><code>&lt;= 0.3.79</code></li> </ul> <p><strong>已修补版本</strong>:</p> <ul> <li><code>1.0.7</code></li> <li><code>0.3.80</code></li> </ul> <h3 id="描述">描述</h3> <h4 id="背景">背景</h4> <p>LangChain 的提示模板系统中存在一个模板注入漏洞，允许攻击者通过模板语法访问 Python 对象的内部属性。该漏洞影响那些在 <code>ChatPromptTemplate</code> 和相关提示模板类中接受不受信任的模板字符串（而不仅仅是模板变量）的应用程序。模板允许属性访问（<code>.</code>）和索引（<code>[]</code>），但不允许方法调用（<code>()</code>）。</p>