LangChainはLLM搭載アプリケーションを構築するためのフレームワークです。@langchain/coreのバージョン0.3.80および1.1.8以前、ならびにlangchainのバージョン0.3.37および1.2.3以前において、LangChain JSのtoJSON()メソッド（およびその後のJSON.stringify()を用いたオブジェクトの文字列化）にシリアライズインジェクションの脆弱性が存在していました。このメソッドはkwargs内の自由形式データをシリアライズする際に、'lc'キーを持つオブジェクトをエスケープしていませんでした。'lc'キーはLangChain内部でシリアライズされたオブジェクトを示すために使用されます。ユーザー制御のデータにこのキー構造が含まれている場合、デシリアライズ時に単なるユーザーデータではなく正当なLangChainオブジェクトとして扱われてしまいます。この問題は@langchain/coreのバージョン0.3.80および1.1.8、langchainのバージョン0.3.37および1.2.3で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。