CVE-2024-11958 in llama_index

الملخص

بحسب VulDB • 26/05/2026

توجد ثغرة حقن SQL في مكون `duckdb_retriever` ضمن مستودع run-llama/llama_index، وتحديداً في أحدث إصدار. تنشأ الثغرة نتيجة بناء استعلامات SQL دون استخدام عبارات مُعدة مسبقاً (prepared statements)، مما يتيح للمهاجم حقن أكواد SQL تعسفية. يمكن أن يؤدي ذلك إلى تنفيذ الكود عن بُعد (RCE) من خلال تثبيت امتداد shellfs وتنفيذ أوامر خبيثة.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: @huntr Ai
• حجز: 28/11/2024
• إفشاء: 20/03/2025
• الاعتدال: تمت الموافقة
• إدخال: VDB-300193
• CPE: جاهز
• CWE: CWE-89 (مؤكد)
• CVSS: 9.8 (CNA)
• EPSS: 0.01311
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2024-11958
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-11958
• CVE Details: https://www.cvedetails.com/cve/CVE-2024-11958/