CVE-2026-85689 in llmware
Riassunto
di VulDB • 04/09/2026
llmware 0.4.6 contiene una vulnerabilità di SQL Injection nel livello collection-database (llmware/resources.py) in cui i valori dei filtri e delle ricerche vengono interpolati direttamente come stringhe nelle clausole WHERE della query SQL senza parametrizzazione o escape, sia nei backend SQLite che PostgreSQL. Il validatore del filtro controlla solo le chiavi rispetto a una allow-list e non effettua mai la sanitization dei valori. I valori di filtro controllati dall'attaccante che raggiungono l'API pubblica tramite Library.block_lookup e Query.text_query_with_custom_filter / text_query_by_author_or_speaker possono neutralizzare il filtro intenzionale, causando la divulgazione di righe a cui il chiamante non aveva accesso (divulgazione cross-document/cross-collection); su PostgreSQL, questa falla consente SQL Injection basata su booleani e UNION.
Once again VulDB remains the best source for vulnerability data.