CVE-2025-1750: llamaindex

csirt@kutim:~/threat-intel/cve/CVE-2025-1750

CVSS 9.8 · Critical EPSS 0,82%

Kerentanan Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') pada llamaindex. Skor CVSS 3.0 9.8 (Critical) menurut huntr.dev.

Deskripsi (NVD)

An SQL injection vulnerability exists in the delete function of DuckDBVectorStore in run-llama/llama_index version v0.12.19. This vulnerability allows an attacker to manipulate the ref_doc_id parameter, enabling them to read and write arbitrary files on the server, potentially leading to remote code execution (RCE).

Rincian

Terbit di NVD: 2 Juni 2025
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.0: 9.8 (Critical), sumber huntr.dev
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
EPSS (30 hari): 0,82% peluang dieksploitasi; lebih tinggi dari 55,9% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
llamaindex	llamaindex	Versi 0.12.19 hingga sebelum 0.12.21

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/run-llama/llama_index/commit/369a2942df2efcf6b74461c45d20a0af1fbe4ae2 patch
https://huntr.com/bounties/e1302233-9180-4269-9047-1526247d2cd8 exploit · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.