PT-2025-12157 · Run Llama · Llama Index

Publicado 2025-03-20 · Atualizado 2025-03-21 · CVE-2024-12910

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas run-llama/llama index versão latest

Descrição Existe um problema de Negação de Serviço (DoS) devido a chamadas recursivas infinitas ao método get article urls quando uma variável de URL é controlada para conter a URL raiz, potencialmente esgotando os recursos do sistema e causando a queda da aplicação. Isso é causado por uma vulnerabilidade na classe KnowledgeBaseWebReader.

Recomendações Como solução temporária, considere desabilitar o método get article urls até que um patch esteja disponível. Restrinja o acesso à classe KnowledgeBaseWebReader para minimizar o risco de exploração. Evite usar a variável de URL para conter a URL raiz no endpoint de API afetado até que o problema seja resolvido.

Exploit

Correção

DoS

Uncontrolled Recursion

Resource Exhaustion

Enumeração de Fraquezas

CWE-674

CWE-400

Identificadores relacionados

CVE-2024-12910

GHSA-JVPF-XF32-2W4Q

PYSEC-2025-11

Produtos afetados

Llama Index

Referências · 9

• 🔥 https://huntr.com/bounties/27883f22-35ff-49df-aaa5-05031c7d6ad8 · Exploit
• https://github.com/run-llama/llama_index · Nota
• https://github.com/run-llama/llama_index/commit/159ce485a1168100bb219dc1b93133f1121579d9 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/llama-index/PYSEC-2025-11.yaml · Nota
• https://osv.dev/vulnerability/GHSA-jvpf-xf32-2w4q · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1903021680416444925 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-12910 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-12910 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2025-11 · Aviso do Fabricante