一、LangChain 序列化注入风险
LangChain 是一个面向大语言模型（LLM）的应用开发框架，广泛用于对话系统、知识检索与智能自动化场景。
1. 风险内容
该漏洞源于 dumps()与 dumpd()函数在处理自由字典时未正确转义包含“lc”关键字的用户可控数据，导致其在 load()或 loads()反序列化过程中被误识别为合法的 LangChain 对象结构。攻击者可通过在 LLM 响应、metadata、additional_kwargs 等可控字段中注入特制序列化结构，实现敏感环境变量泄露，或在受信命名空间内实例化具有副作用的类。该漏洞影响多个内部序列化调用场景，在旧版本默认开启 secrets_from_env 的情况下风险尤为突出。
2. 影响范围
1.0.0 <= langchain < 1.2.5 langchain < 0.3.81
3. 修复建议
联系信息中心获取版本更新链接。
二、SmarterMail 未授权文件上传风险
SmarterMail 是一款基于 Windows 平台的邮件服务器软件，广泛应用于中小企业和自建邮件系统场景。
1. 风险内容
漏洞成因在于服务器对文件上传过程中的安全校验不足，导致攻击者在无需任何身份认证的情况下，即可向邮件服务器任意路径上传恶意文件。若被成功利用，攻击者可能进一步执行任意代码，从而完全控制服务器，造成邮件数据泄露、系统被植入后门或业务服务中断等严重后果。
2. 影响范围
SmarterMail <= 9406
3. 修复建议
联系信息中心获取版本更新链接。
三、Zimbra 本地文件包含风险
Zimbra Collaboration Suite (ZCS) 是一款开源企业级电子邮件与协作平台，广泛应用于教育机构和各类企业中。
1. 风险内容
该漏洞源于 RestFilter servlet 对请求参数过滤不严格，未经身份验证的远程攻击者可以构造恶意路径参数，获取服务器 WebRoot 目录下的敏感文件。
2. 影响范围
Zimbra Collaboration Suite 10.0 < 10.0.18
Zimbra Collaboration Suite 10.1 < 10.1.13
3. 修复建议
联系信息中心获取版本更新链接。
四、jsPDF目录穿越导致本地文件包含漏洞
jsPDF是一个流行的JavaScript库，用于在浏览器中直接生成PDF文档。它提供了简单的API，让你能够通过代码创建包含文本、图片、表格等内容的PDF文件，并支持自定义样式和布局。
1. 风险内容
监测到jsPDF存在路径清理漏洞（CVE-2025-68428）,jsPDF是一个用于在JavaScript中生成PDF的库。在4.0.0版本之前，node.js构建版本中loadFile方法的第一个参数受到用户控制，允许本地文件包含/路径遍历。如果用户有机会将未经清理的路径传递给loadFile方法，攻击者可以读取node进程运行所在本地文件系统中任意文件的内容。这些文件内容将原样包含在生成的PDF中。
2. 影响范围
jsPDF < 3.0.4
3. 修复建议
联系信息中心获取版本更新链接。
