CVE-2026-85689 in llmware
Resumen
por VulDB • 2026-09-04
llmware 0.4.6 contiene una vulnerabilidad de inyección SQL en la capa collection-database (llmware/resources.py) donde los valores de filtro y búsqueda se interpolan directamente como cadenas en las cláusulas WHERE de SQL sin parametrización ni escape, tanto en los backends SQLite como PostgreSQL. El validador de filtros solo verifica las claves contra una lista blanca y nunca sanitiza los valores. Los valores de filtro controlados por el atacante que llegan a la API pública a través de Library.block_lookup y Query.text_query_with_custom_filter / text_query_by_author_or_speaker pueden neutralizar el filtro previsto para revelar filas fuera del alcance del llamador (divulgación cross-document/cross-collection); en PostgreSQL, la falla permite inyección SQL booleana y basada en UNION.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.