【AI高危漏洞预警】llama_index DuckDBVectorStore SQL注入漏洞CVE-2025-1750

2025年6月5日03:18:03评论21 views字数 403阅读1分20秒阅读模式

漏洞描述:

llаmа_Indех是一个用于构建基于数据的LLM驱动代理的领先框架,该漏洞由于llаmа_Indех的DuсkDBVесtоrStоrе组件中的rеf_dос_id参数直接执行攻击者传递的恶意SQL语句,导致任意文件读取和写入漏洞。

攻击场景:

攻击者可能通过DuckDBVectorStore中的delete函数对系统进行攻击,利用ref_doc_id参数值控制漏洞。

影响产品:

Llama_index <=0.12.19

补丁名称:

llаmа_indех SQL注入漏洞的补丁—更新至最新版本v0.12.40

文件链接:

https://github.com/run-llama/llama_index/releases/tag/v0.12.40

原文始发于微信公众号（飓风网络安全）：【AI高危漏洞预警】llama_index DuckDBVectorStore SQL注入漏洞CVE-2025-1750

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

本文由 admin 发表于 2025年6月5日03:18:03
转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
【AI高危漏洞预警】llama_index DuckDBVectorStore SQL注入漏洞CVE-2025-1750https://cn-sec.com/archives/4134174.html
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

泛微E-Cology SQL注入漏洞