« Volver al listado

CVE-2025-5302

Estado: AplazadaAlta (8.6)—

A denial of service vulnerability exists in the JSONReader component of the run-llama/llama_index repository, specifically in version v0.12.37. The vulnerability is caused by uncontrolled recursion when parsing deeply nested JSON files, which can lead to Python hitting its maximum recursion depth limit. This results in high resource consumption and potential crashes of the Python process. The issue is resolved in version 0.12.38.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

CVE remota sin autenticación (AV:N/PR:N/UI:N) contra aplicación expuesta. El ataque causa recursión incontrolada en JSONReader → consumo de recursos y crash (DoS). CWE-674 sustenta recursión.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficApplication Isolation and SandboxingVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Run-llama — Llama IndexAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-5302",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2025-5302",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2025-08-25T15:40:17.719250Z"
        }
      }
    ],
    "cvssMetricV30": [
      {
        "type": "Secondary",
        "source": "security@huntr.dev",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.0",
          "baseScore": 8.6,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 4.7,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@huntr.dev",
      "affectedData": [
        {
          "vendor": "run-llama",
          "product": "run-llama/llama_index",
          "versions": [
            {
              "status": "affected",
              "version": "unspecified",
              "lessThan": "0.12.38",
              "versionType": "custom"
            }
          ]
        }
      ]
    }
  ],
  "published": "2025-08-25T15:15:42.243",
  "references": [
    {
      "url": "https://github.com/run-llama/llama_index/commit/c032843a02ce38fd8f284b2aa5a37fd1c17ae635",
      "source": "security@huntr.dev"
    },
    {
      "url": "https://huntr.com/bounties/70041b81-de9e-4046-8c0e-6ccd557048a6",
      "source": "security@huntr.dev"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@huntr.dev",
      "description": [
        {
          "lang": "en",
          "value": "CWE-674"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "A denial of service vulnerability exists in the JSONReader component of the run-llama/llama_index repository, specifically in version v0.12.37. The vulnerability is caused by uncontrolled recursion when parsing deeply nested JSON files, which can lead to Python hitting its maximum recursion depth limit. This results in high resource consumption and potential crashes of the Python process. The issue is resolved in version 0.12.38."
    },
    {
      "lang": "es",
      "value": "Existe una vulnerabilidad de denegación de servicio en el componente JSONReader del repositorio run-llama/llama_index, concretamente en la versión v0.12.37. Esta vulnerabilidad se debe a una recursión incontrolada al analizar archivos JSON profundamente anidados, lo que puede provocar que Python alcance su límite máximo de recursión. Esto provoca un alto consumo de recursos y posibles bloqueos del proceso de Python. El problema se ha resuelto en la versión 0.12.38."
    }
  ],
  "lastModified": "2026-06-17T09:47:38.620",
  "sourceIdentifier": "security@huntr.dev"
}