PT-2025-27525 · Unknown · Llama Index

Astrabert · Publicado 2025-04-02 · Atualizado 2025-07-14 · CVE-2025-6210

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.2

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: llama index versão 0.12.27

Descrição: Uma falha na classe ObsidianReader permite travessia de caminho baseada em hardlinks, possibilitando que atacantes contornem restrições de caminho e acessem arquivos sensíveis do sistema, como /etc/passwd, explorando hardlinks. Este problema surge devido ao tratamento inadequado de hardlinks no método load data().

Recomendações: Para a versão 0.12.27, atualize para a versão 0.5.2 para resolver o problema. Como medida temporária, considere restringir o acesso a arquivos sensíveis do sistema para minimizar o risco de exploração.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-07984

CVE-2025-6210

GHSA-3J8R-JF9W-5CMH

Produtos afetados

Llama Index

Referências · 11

• 🔥 https://huntr.com/bounties/a654b322-a509-4448-a1f5-0f22850b4687 · Exploit
• https://github.com/run-llama/llama_index · Nota
• https://github.com/run-llama/llama_index/commit/a86c96ae0e662492eeb471b658ae849a93f628ff · Correção
• https://bdu.fstec.ru/vul/2026-07984 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-6210 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3j8r-jf9w-5cmh · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-6210 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1942166380406579525 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1942196987660583359 · Publicação no Twitter
• https://twitter.com/0xManan/status/1939971252296298627 · Publicação no Twitter
• https://twitter.com/0xManan/status/1944681121117257791 · Publicação no Twitter