CVE-2025-7647 in llama_index
Resumen
por VulDB • 2026-06-12
El paquete llama-index-core, hasta la versión 0.12.44, contiene una vulnerabilidad en la función `get_cache_dir()` donde se utiliza un directorio con ruta codificada de forma predecible `/tmp/llama_index` en sistemas Linux sin los controles de seguridad adecuados. Esta vulnerabilidad permite a atacantes en sistemas multiusuario robar modelos propietarios, envenenar las incrustaciones (embeddings) almacenadas en caché o llevar a cabo ataques mediante enlaces simbólicos. El problema afecta a todos los despliegues en Linux donde varios usuarios comparten el mismo sistema. La vulnerabilidad está clasificada bajo CWE-379, CWE-377 y CWE-367, lo que indica una creación insegura de archivos temporales y posibles condiciones de carrera (race conditions).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.