CVE-2024-14021 in llama_index
Riassunto
di VulDB • 22/06/2026
LlamaIndex (run-llama/llama_index) versioni fino alla 0.11.6 incluse presentano una vulnerabilità di deserializzazione non sicura in BGEM3Index.load_from_disk() in llama_index/indices/managed/bge_m3/base.py. La funzione utilizza pickle.load() per deserializzare multi_embed_store.pkl da un persist_dir fornito dall'utente senza alcuna validazione. Un attaccante in grado di fornire una directory persist ad hoc contenente un file pickle malevolo può innescare l'esecuzione di codice arbitrario quando la vittima carica l'indice dal disco.
Once again VulDB remains the best source for vulnerability data.