LlamaIndex Retrievers Integration: DuckDBRetriever SQL Injection

NGHIÊM TRỌNG 9.8CVE-2024-11958 · GHSA-339r-cjv9-x78g · PYSEC-2026-399 · Công bố 20/03/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-11958 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng llama-index-retrievers-duckdb-retriever, llamaindex (llamaindex).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.4%, cao hơn 73.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.4.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
llama-index-retrievers-duckdb-retriever PyPI	`< 0.4.0`	`0.4.0`
llamaindex llamaindex	`< 0.4.0`	`0.4.0`

Mô tả

A SQL injection vulnerability exists in the duckdb_retriever component of the run-llama/llama_index repository, specifically in llama-index-retrievers-duckdb-retriever prior to v0.4.0. The vulnerability arises from the construction of SQL queries without using prepared statements, allowing an attacker to inject arbitrary SQL code. This can lead to remote code execution (RCE) by installing the shellfs extension and executing malicious commands.

Mô tả của NVD

A SQL injection vulnerability exists in the `duckdb_retriever` component of the run-llama/llama_index repository, specifically in the latest version. The vulnerability arises from the construction of SQL queries without using prepared statements, allowing an attacker to inject arbitrary SQL code. This can lead to remote code execution (RCE) by installing the shellfs extension and executing malicious commands.