CVE-2025-3046 in llama_index
Resumen
por MITRE • 2025-07-07
Una vulnerabilidad en la clase `ObsidianReader` del repositorio run-llama/llama_index, versiones 0.12.23 a 0.12.28, permite la lectura arbitraria de archivos mediante enlaces simbólicos. `ObsidianReader` no resuelve los enlaces simbólicos a sus rutas reales ni valida si las rutas resueltas se encuentran dentro del directorio deseado. Esta falla permite a los atacantes colocar enlaces simbólicos que apuntan a archivos fuera del directorio de la bóveda, que se procesan como archivos Markdown válidos, lo que podría exponer información confidencial.
Once again VulDB remains the best source for vulnerability data.