Tóm tắt nhanh
- CVE-2024-14021 là lỗ hổng mức CAO (CVSS 7.8) ảnh hưởng llama-index, llamaindex (llamaindex).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.34%, cao hơn 27.1% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 0.11.7 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| llama-index PyPI | < 0.11.7
| 0.11.7
|
| llamaindex | ≤ 0.11.6
| Chưa có bản vá |
Mô tả
LlamaIndex (run-llama/llama_index) versions up to and including 0.11.6 contain an unsafe deserialization vulnerability in BGEM3Index.load_from_disk() in llama_index/indices/managed/bge_m3/base.py. The function uses pickle.load() to deserialize multi_embed_store.pkl from a user-supplied persist_dir without validation. An attacker who can provide a crafted persist directory containing a malicious pickle file can trigger arbitrary code execution when the victim loads the index from disk.
Mô tả của NVD
LlamaIndex (run-llama/llama_index) versions up to and including 0.11.6 contain an unsafe deserialization vulnerability in BGEM3Index.load_from_disk() in llama_index/indices/managed/bge_m3/base.py. The function uses pickle.load() to deserialize multi_embed_store.pkl from a user-supplied persist_dir without validation. An attacker who can provide a crafted persist directory containing a malicious pickle file can trigger arbitrary code execution when the victim loads the index from disk.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí