CVE-2023-39662
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
Wersje llama_index do 0.7.13 zawierają lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr `exec` w funkcji PandasQueryEngine.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego uruchamiania kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację do wersji 0.7.14 lub nowszej, aby usunąć tę lukę.
Inne podatności w llama_index
Zobacz wszystkie- CVE-2025-7707Wysokie
Biblioteka llama_index w wersji 0.12.33 domyślnie ustawia katalog danych NLTK jako podkatalog kodu źródłowego, który w środowiskach wieloużytkownikowych jest zapisywalny dla wszystkich. Umożliwia to lokalnym użytkownikom nadpisywanie, usuwanie lub uszkadzanie plików danych NLTK, co może prowadzić do odmowy usługi, manipulacji danymi lub eskalacji uprawnień. Problem wynika z używania współdzielonego katalogu cache zamiast katalogu specyficznego dla użytkownika.
- CVE-2025-6210Średnie
W klasie ObsidianReader repozytorium run-llama/llama_index w wersji 0.12.27 występuje path traversal oparty na hardlinkach. Atakujący może obejść ograniczenia ścieżek i uzyskać dostęp do wrażliwych plików systemowych, takich jak /etc/passwd, wykorzystując hardlinki; problem wynika z nieodpowiedniej obsługi hardlinków w metodzie load_data(). Podatność naprawiono w wersji 0.5.2.
Oryginalny opis (angielski, źródło NVD)
An issue in llama_index v.0.7.13 and before allows a remote attacker to execute arbitrary code via the `exec` parameter in PandasQueryEngine function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS