CVE-2026-85689 in llmware
Sumário
de VulDB • 04/09/2026
llmware 0.4.6 contém uma vulnerabilidade de injeção de SQL na camada collection-database (llmware/resources.py), onde os valores dos filtros e das consultas são interpolados diretamente como strings nas cláusulas WHERE do SQL, sem parametrização ou escape, tanto nos backends SQLite quanto PostgreSQL. O validador de filtro verifica apenas as chaves contra uma lista permitida (allow-list) e nunca sanitiza os valores. Valores de filtro controlados pelo atacante que chegam à API pública por meio de Library.block_lookup e Query.text_query_with_custom_filter / text_query_by_author_or_speaker podem neutralizar o filtro pretendido, revelando linhas para as quais o chamador estava restrito (vazamento cross-document/cross-collection); no PostgreSQL, a falha permite injeção de SQL baseada em booleanos e UNION.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.