CVE-2025-7707

WysokieCVSS 7.8

Opublikowano: 13/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Biblioteka llama_index w wersji 0.12.33 domyślnie ustawia katalog danych NLTK jako podkatalog kodu źródłowego, który w środowiskach wieloużytkownikowych jest zapisywalny dla wszystkich. Umożliwia to lokalnym użytkownikom nadpisywanie, usuwanie lub uszkadzanie plików danych NLTK, co może prowadzić do odmowy usługi, manipulacji danymi lub eskalacji uprawnień. Problem wynika z używania współdzielonego katalogu cache zamiast katalogu specyficznego dla użytkownika.

Ocena ryzyka

Lokalny atakujący może modyfikować lub usuwać pliki danych NLTK, powodując odmowę usługi, manipulację danymi lub eskalację uprawnień w środowiskach wieloużytkownikowych.

Rekomendacja

Zaktualizuj bibliotekę llama_index do wersji, która nie używa współdzielonego katalogu cache dla danych NLTK, lub skonfiguruj katalog danych NLTK jako specyficzny dla użytkownika z odpowiednimi uprawnieniami. Ogranicz uprawnienia zapisu do katalogu kodu źródłowego.

Inne podatności w llama_index

CVE-2023-39662Krytyczne
Wersje llama_index do 0.7.13 zawierają lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr `exec` w funkcji PandasQueryEngine.

Oryginalny opis (angielski, źródło NVD)

The llama_index library version 0.12.33 sets the NLTK data directory to a subdirectory of the codebase by default, which is world-writable in multi-user environments. This configuration allows local users to overwrite, delete, or corrupt NLTK data files, leading to potential denial of service, data tampering, or privilege escalation. The vulnerability arises from the use of a shared cache directory instead of a user-specific one, making it susceptible to local data tampering and denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS