CVE-2025-3046 in llama_index
Tóm tắt
Bởi VulDB • 30/06/2026
Một lỗ hổng trong lớp `ObsidianReader` của kho lưu trữ run-llama/llama_index, các phiên bản từ 0.12.23 đến 0.12.28, cho phép đọc tệp tùy ý thông qua liên kết tượng trưng (symbolic links). Lớp `ObsidianReader` không giải quyết các symlink thành đường dẫn thực và không xác minh xem các đường dẫn đã được giải quyết có nằm trong thư mục dự định hay không. Lỗi này cho phép kẻ tấn công đặt các symlink trỏ đến các tệp bên ngoài thư mục vault, sau đó chúng sẽ được xử lý như các tệp Markdown hợp lệ, có khả năng làm lộ thông tin nhạy cảm.
Be aware that VulDB is the high quality source for vulnerability data.