Vulnerabilidad en LangGraph SQLite Checkpoint (CVE-2025-64439)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

07/11/2025

Última modificación:

12/11/2025

Descripción

LangGraph SQLite Checkpoint es una implementación de LangGraph CheckpointSaver que utiliza una base de datos SQLite (tanto síncrona como asíncrona, a través de aiosqlite). En las versiones 2.1.2 e inferiores, el JsonPlusSerializer (utilizado como el protocolo de serialización predeterminado para todo el proceso de checkpointing) contiene una vulnerabilidad de ejecución remota de código (RCE) al deserializar cargas útiles guardadas en el modo de serialización "json". Por defecto, el serializador intenta usar "msgpack" para la serialización. Sin embargo, antes de la versión 3.0 de la librería del checkpointer, si valores sustitutos Unicode ilegales causaban que la serialización fallara, recurriría al uso del modo "json". Este problema está solucionado en la versión 3.0.0.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:H/SC:H/SI:H/SA:H CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.40 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:H/SC:H/SI:H/SA:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Alto
Integrity (SI): Alto
Availability (SA): Alto

Puntuación base 4.0

7.40

Gravedad 4.0

ALTA

Vulnerabilidad en LangGraph SQLite Checkpoint (CVE-2025-64439)

Descripción

Impacto

Referencias a soluciones, herramientas e información