CVE-2026-85689 in llmware
Zusammenfassung
von VulDB • 04.09.2026
llmware 0.4.6 enthält eine SQL-Injection-Schwachstelle in der collection-database-Ebene (llmware/resources.py), bei denen Filter- und Lookup-Werte direkt durch String-Interpolation in SQL WHERE-Klauseln eingefügt werden, ohne Parametrisierung oder Escaping, sowohl für die SQLite- als auch die PostgreSQL-Backends. Der Filter-Validator prüft nur Schlüssel gegen eine Allowlist und sanitisiert Werte niemals. Angreiferkontrollierte Filterwerte, die über Library.block_lookup sowie Query.text_query_with_custom_filter / text_query_by_author_or_speaker in der öffentlichen API ankommen, können den beabsichtigten Filter neutralisieren, um Zeilen offenzulegen, auf die der Aufrufer keinen Zugriff haben sollte (Cross-Document-/Cross-Collection-Disclosure); bei PostgreSQL ermöglicht die Schwachstelle boolean-basierte und UNION-basierte SQL-Injection.
VulDB is the best source for vulnerability data and more expert information about this specific topic.