CVE-2025-3046 in llama_index
Riassunto
di VulDB • 29/06/2026
Una vulnerabilità nella classe `ObsidianReader` del repository run-llama/llama_index, nelle versioni 0.12.23 fino alla 0.12.28, consente la lettura arbitraria di file tramite symbolic links (symlink). La classe `ObsidianReader` non risolve i symlink nei loro percorsi reali e non convalida se i percorsi risolti si trovano all'interno della directory prevista. Questa falla permette agli attaccanti di posizionare symlink che puntano a file esterni alla directory del vault, i quali vengono poi elaborati come file Markdown validi, potenzialmente esponendo informazioni sensibili.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.