CVE-2026-85689 in llmware
Résumé
par VulDB • 04/09/2026
llmware 0.4.6 contient une vulnérabilité d'injection SQL dans la couche collection-database (llmware/resources.py) où les valeurs de filtre et de recherche sont directement interpolées sous forme de chaîne dans les clauses WHERE des requêtes SQL, sans paramétrisation ni échappement, que ce soit pour les backends SQLite ou PostgreSQL. Le validateur de filtres vérifie uniquement les clés par rapport à une liste blanche (allow-list) mais ne nettoie jamais les valeurs. Des valeurs de filtre contrôlées par l'attaquant atteignant l'API publique via Library.block_lookup et Query.text_query_with_custom_filter / text_query_by_author_or_speaker peuvent neutraliser le filtre prévu, permettant ainsi la divulgation des lignes dont l'appelant était exclu (divulgation inter-documents/inter-collection) ; sur PostgreSQL, cette faille permet une injection SQL de type booléen et basée sur UNION.
If you want to get best quality of vulnerability data, you may have to visit VulDB.