LlamaIndex vulnerable to Creation of Temporary File in Directory with Insecure Permissions

高 7.1CVE-2024-12911 · GHSA-jmgm-gx32-vp4w · PYSEC-2026-1555 · 20/03/2025 公開 · 17/06/2026 更新

要点

CVE-2024-12911 は llama-index, llamaindex (llamaindex) に影響する深刻度「高」 (CVSS 7.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.52%（全脆弱性の 44.3% より高い）。
対処：0.12.3, 0.5.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
llama-index PyPI	`< 0.12.3`	`0.12.3`
llamaindex llamaindex	`< 0.5.1`	`0.5.1`

概要

A vulnerability in the default_jsonalyzer function of the JSONalyzeQueryEngine in the run-llama/llama_index repository allows for SQL injection via prompt injection. This can lead to arbitrary file creation and Denial-of-Service (DoS) attacks. The vulnerability affects the latest version and is fixed in version 0.12.3.

NVD の説明

A vulnerability in the `default_jsonalyzer` function of the `JSONalyzeQueryEngine` in the run-llama/llama_index repository allows for SQL injection via prompt injection. This can lead to arbitrary file creation and Denial-of-Service (DoS) attacks. The vulnerability affects the latest version and is fixed in version 0.5.1.