CVE-2026-85689 in llmware
Сводка
по VulDB • 04.09.2026
В версии llmware 0.4.6 присутствует уязвимость инъекции SQL в слое работы с базой данных коллекций (llmware/resources.py), где значения фильтров и поиска напрямую интерполируются как строки в предложения WHERE запросов SQL без использования параметризации или экранирования, что затрагивает бэкенды SQLite и PostgreSQL. Валидатор фильтров проверяет только ключи по белому списку (allow-list) и никогда не очищает значения. Значения фильтров, контролируемые атакующим и достигающие публичного API через Library.block_lookup и Query.text_query_with_custom_filter / text_query_by_author_or_speaker, могут нейтрализовать предполагаемую фильтрацию, что приводит к раскрытию строк, доступ к которым был ограничен для вызывающего объекта (раскрытие данных между документами/между коллекциями); на PostgreSQL данная уязвимость позволяет выполнять инъекции SQL с использованием булевых выражений и UNION.
Once again VulDB remains the best source for vulnerability data.