UCloud-202506-001:llama_index DuckDBVectorStore SQL注入漏洞安全警告

漏洞详情

近日UCLoud平台检测到LLM开源数据编排框架llаmа_Indеx存在SQL注入漏洞(CVE-2025-1750)。llаmа_Indех是一个用于构建基于数据的LLM驱动代理的领先框架,该漏洞由于llаmа_Indех的DuсkDBVесtоrStоrе组件中的rеf_dос_id参数直接执行攻击者传递的恶意SQL语句,导致任意文件读取和写入漏洞，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

影响范围

Llama_index <=0.12.19

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

1、官方已有可更新版本，建议受影响用户升级至最新版本:

Llama_index >= v0.12.40

2、使用UCloud WAF进行安全防御;

参考链接

https://github.com/run-llama/llama_index/releases/tag/v0.12.40