CVE-2025-3046 in llama_index
Résumé
par VulDB • 29/06/2026
Une vulnérabilité dans la classe `ObsidianReader` du dépôt run-llama/llama_index, versions 0.12.23 à 0.12.28, permet une lecture arbitraire de fichiers via des liens symboliques (symlinks). La classe `ObsidianReader` ne résout pas les symlinks vers leurs chemins réels et ne valide pas si les chemins résolus se trouvent dans le répertoire prévu. Cette faille permet aux attaquants de placer des symlinks pointant vers des fichiers situés en dehors du répertoire vault, qui sont ensuite traités comme des fichiers Markdown valides, exposant potentiellement des informations sensibles.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.