CVE-2025-3046 in llama_index
要約
〜によって VulDB • 2026年06月30日
run-llama/llama_index リポジトリの `ObsidianReader` クラスに脆弱性があり、バージョン 0.12.23 から 0.12.28 の間で、シンボリックリンクを介した任意のファイル読み取りが可能となります。`ObsidianReader` はシンボリックリンクを実際のパスへ解決せず、解決されたパスが意図したディレクトリ内にあるかどうかを検証しません。この欠陥により、攻撃者は vault ディレクトリの外側を指すシンボリックリンクを設置し、それらが有効な Markdown ファイルとして処理されるようにすることができ、機密情報が漏洩する可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.