目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-97869— LangChain4j反序列化漏洞

一分钟漏洞结论

影响对象
n/a langchain4j
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

在 langchain4j 1.5.3-beta10、1.11.10-beta18 以及 1.18.1-beta27 及更早版本中发现了一个缺陷。该漏洞影响 LangChain4j-agentic 组件中的 AgenticScopeJsonSerializationIT.java 文件里的 AgenticScopeSerializer.fromJson 函数。此问题会导致反序列化行为。远程利用该漏洞是可能的，但攻击复杂度被评定为高，且 exploits 的实际利用难度较大。目前已有公开的漏洞利用代码，可能被攻击者使

CVSS 4.1 · Medium EPSS 0.38% · P29
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-97869 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
langchain4j LangChain4j-agentic AgenticScopeJsonSerializationIT.java AgenticScopeSerializer.fromJson deserialization
来源: CVE Program / CVE List V5
Vulnerability Description
A flaw has been found in langchain4j up to 1.5.3-beta10/1.11.10-beta18/1.18.1-beta27. This vulnerability affects the function AgenticScopeSerializer.fromJson of the file AgenticScopeJsonSerializationIT.java of the component LangChain4j-agentic. This manipulation causes deserialization. Remote exploitation of the attack is possible. The attack's complexity is rated as high. It is stated that the exploitability is difficult. The exploit has been published and may be used. Upgrading to version 1.5.3-beta11, 1.11.10-beta19 and 1.18.1-beta28 is able to resolve this issue. Upgrading the affected component is advised. The project maintainer kindly explains: "The issue was reported to us privately on 23 July 2026 and fixed in releases published on 29 July 2026. It is tracked as GHSA-gmwr-7wmf-mrjm. Exploitation requires an application to have enabled AgenticScope persistence, which is opt-in, and an attacker who can already write to that store. All maintained release lines have been patched."
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
可信数据的反序列化
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
- langchain4j 1.5.3-beta10 cpe:2.3:a:langchain4j:langchain4j:*:*:*:*:*:*:*:*

二、漏洞 CVE-2026-97869 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-97869 的情报信息

请登录查看更多情报信息。

CVE-2026-97869 其他参考 (8)

同批安全公告 · n/a · 2026-09-25 · 共 11 条

CVE-2026-52622 7.5 HIGH Wellav WES终端多个版本信息泄露漏洞
CVE-2026-97865 7.3 HIGH Open-Web-Analytics queue.php 反序列化漏洞
CVE-2026-88420 APSL puput v1.2.1-v2.2.0反射型XSS漏洞
CVE-2026-88389 Espruino 2v29空指针解引用致DoS
CVE-2026-88421 APSL puput 1.2.1-2.2.0 访问控制漏洞
CVE-2026-51772 OpenStack Glance v2 SSRF漏洞
CVE-2026-51773 OpenStack glance_store datastore驱动认证绕过漏洞
CVE-2026-78902 Netgate pfSense 26.03.1 pfBlockerNG跨站脚本漏洞
CVE-2026-79153 Seclore FileSecure Desktop Client <3.25.1.0 访问控制漏洞
CVE-2025-51457 D-Link DAP-2610<2.06B08r099命令注入漏洞

IV. Related Vulnerabilities

Same product: langchain4j
Same vendor: n/a
Same weakness: CWE-502

V. Comments for CVE-2026-97869

暂无评论

发表评论