CVE-2025-45691

WysokieCVSS 7.5

Opublikowano: 05/03/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.53%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Podatność umożliwia odczyt dowolnego pliku w klasie ImageTextPromptValue w bibliotece RAGAS w wersjach od 0.2.3 do 0.2.14. Wynika z nieprawidłowej walidacji i sanityzacji adresów URL dostarczanych w parametrze retrieved_contexts podczas obsługi danych multimodalnych.

Ocena ryzyka

Atakujący może odczytać dowolne pliki z systemu, co prowadzi do wycieku poufnych danych, takich jak konfiguracje, klucze czy dane użytkowników.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę RAGAS do wersji 0.2.15 lub nowszej, która zawiera poprawkę walidacji URL-i.

Inne podatności w RAGAS

CVE-2026-6587Średnie
W bibliotece RAGAS do wersji 0.4.3 odkryto podatność na fałszowanie żądań po stronie serwera (SSRF) w module Collections. Funkcje _try_process_local_file/_try_process_url w pliku util.py nieprawidłowo walidują argument retrieved_contexts, co umożliwia zdalnemu atakującemu wykonanie żądań do wewnętrznych zasobów. Exploit został opublikowany, a dostawca nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

An Arbitrary File Read vulnerability exists in the ImageTextPromptValue class in Exploding Gradients RAGAS v0.2.3 to v0.2.14. The vulnerability stems from improper validation and sanitization of URLs supplied in the retrieved_contexts parameter when handling multimodal inputs.