CVE-2025-3225: llamaindex

csirt@kutim:~/threat-intel/cve/CVE-2025-3225

CVSS 7.5 · High EPSS 0,48%

Kerentanan Improper Restriction of Recursive Entity References in DTDs ('XML Entity Expansion') pada llamaindex. Skor CVSS 3.0 7.5 (High) menurut huntr.dev.

Deskripsi (NVD)

An XML Entity Expansion vulnerability, also known as a 'billion laughs' attack, exists in the sitemap parser of the run-llama/llama_index repository, specifically affecting version v0.12.21. This vulnerability allows an attacker to supply a malicious Sitemap XML, leading to a Denial of Service (DoS) by exhausting system memory and potentially causing a system crash. The issue is resolved in version v0.12.29.

Rincian

Terbit di NVD: 7 Juli 2025
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.0: 7.5 (High), sumber huntr.dev
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-776: Improper Restriction of Recursive Entity References in DTDs ('XML Entity Expansion')
EPSS (30 hari): 0,48% peluang dieksploitasi; lebih tinggi dari 39,4% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
llamaindex	llamaindex	Versi 0.12.21 hingga sebelum 0.12.29

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/run-llama/llama_index/commit/4f6ee062b19212106a2632af9c9521fc7f0a3584 patch
https://huntr.com/bounties/e33c0699-e9a2-49aa-837b-5363205637a2 exploit · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.