CVE-2026-85689 in llmware
الملخص
بحسب VulDB • 04/09/2026
يحتوي الإصدار 0.4.6 من مكتبة llmware على ثغرة حقن SQL في طبقة قاعدة بيانات المجموعات (ملف llmware/resources.py)، حيث يتم دمج قيم الفلترة والبحث مباشرةً عبر التداخل النصي (string-interpolation) داخل عبارات WHERE الخاصة بـ SQL دون استخدام المعاملات المبرمجة أو الهروب من الأحرف، وذلك في كل من خلفيات SQLite وPostgreSQL. لا يتحقق مُصحح الفلاتر إلا من المفاتيح مقابل قائمة مسموح بها ولا يقوم أبداً بتنقية القيم. يمكن لقيم الفلترة التي يتحكم فيها المهاجم وتصل إلى واجهة برمجة التطبيقات العامة عبر Library.block_lookup وQuery.text_query_with_custom_filter / text_query_by_author_or_speaker أن تعطل الفلتر المقصود، مما يؤدي إلى كشف الصفوف التي كان يُفترض حصر الوصول إليها (كشف عابر للمستندات/عبر المجموعات)؛ وفي حالة PostgreSQL، تتيح الثغرة حقن SQL قائماً على البوليانيات وعلى UNION.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.