یک آسیب‌پذیری امنیتی در ماژول LangChain4j-agentic شناسایی شده است که به دلیل پردازش نادرست داده‌های غیرقابل اعتماد در متد AgenticScopeSerializer.fromJson رخ می‌دهد. این نقص امنیتی که با شناسه CVE-2026-97869 ثبت شده، از نوع Deserialization است و به دلیل استفاده از تنظیمات پیش‌فرض ناامن در کتابخانه Jackson، امکان Instantiate کردن کلاس‌های دلخواه را فراهم می‌کند.
جزئیات فنی و شرایط بهره‌برداری
برای بهره‌برداری موفق از این آسیب‌پذیری، دو شرط اساسی باید برقرار باشد:
- برنامه باید قابلیت AgenticScope persistence را فعال کرده باشد (که یک قابلیت Opt-in است).
- عامل تهدید (Threat Actor) باید از پیش دسترسی نوشتن (Write Access) به ذخیره‌ساز Persistence مربوطه داشته باشد.
با وجود اینکه این نقص می‌تواند منجر به اجرای کد شود، اما به دلیل پیچیدگی بالای حمله (High Attack Complexity) و نیاز به دسترسی‌های پیش‌نیاز، تاثیر کلی آن بر روی محرمانگی، یکپارچگی و در دسترس بودن (C/I/A) در سطح Low ارزیابی شده است، مگر در صورتی که یک زنجیره Gadget برای رسیدن به RCE تایید شود.
نسخه‌های آسیب‌پذیر و راهکار اصلاحی
نسخه‌های زیر تحت تاثیر این آسیب‌پذیری هستند:
- سری 1.5.3 تا نسخه 1.5.3-beta10
- سری 1.11.10 تا نسخه 1.11.10-beta18
- سری 1.18.1 تا نسخه 1.18.1-beta27
توسعه‌دهندگان برای رفع این مشکل، نسخه‌های 1.5.3-beta11، 1.11.10-beta19 و 1.18.1-beta28 را منتشر کرده‌اند. به تمامی کاربرانی که از این کتابخانه در محیط‌های عملیاتی استفاده می‌کنند، توصیه می‌شود هرچه سریع‌تر به نسخه‌های اصلاح‌شده به‌روزرسانی کنند.
