CVE-2026-24770

W InfiniFlow RAGFlow do wersji 0.27.2 zidentyfikowano podatność dotyczącą nieznanego przetwarzania w pliku api/utils/file_utils.py komponentu Images API. Manipulacja prowadzi do cross site scripting. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może być wykorzystywany.

W InfiniFlow RAGFlow do wersji 0.27.3 funkcja _account_get w pliku common/data_source/seafile_connector.py (komponent Seafile Connector) jest podatna na manipulację argumentem seafile_url, co prowadzi do server-side request forgery. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.

RAGFlow 0.24.0 zawiera nieprawidłową kontrolę dostępu w funkcji get_dataset (api/apps/evaluation_app). W zależności od wystawionego punktu wejścia, atakujący może wywołać kod lub wykonanie poleceń.

infiniflow ragflow 0.24.0 jest podatny na nieprawidłową kontrolę dostępu przez funkcję trace_mindmap. Zewnętrznie osiągalna ścieżka akceptuje wybrany przez wywołującego identyfikator obiektu lub dzierżawcy i dociera do operacji dostępu do danych bez widocznego powiązania właściciela, dzierżawcy, przestrzeni roboczej lub członkostwa.

RAGFlow 0.24.0 i wcześniejsze wersje zawierają podatność na wstrzykiwanie szablonów Jinja2 w generatorze promptów (rag/prompts/generator.py). Umożliwia ona każdemu uwierzytelnionemu użytkownikowi wykonanie dowolnych poleceń systemu operacyjnego na serwerze.

RAGFlow to silnik RAG (Retrieval-Augmented Generation) typu open source. W wersjach przed 0.22.0 użycie niebezpiecznego algorytmu generowania kluczy w procesie tworzenia kluczy API i tokenów beta (współdzielonego uwierzytelniania asystenta/agenta) pozwala na wzajemne wyprowadzenie tych tokenów. Oba tokeny są generowane przy użyciu tego samego `URLSafeTimedSerializer` z przewidywalnymi danymi wejściowymi, co umożliwia nieautoryzowanemu użytkownikowi, który uzyska współdzielony URL asystenta/agenta, wyprowadzenie osobistego klucza API. Daje to pełną kontrolę nad kontem właściciela asystenta/agenta. Wersja 0.22.0 naprawia ten problem.

W RAGFlow od wersji 0.25.2 do 0.27.3 endpoint POST /api/v1/agents/chat/completions wywołuje completion_openai i zwraca wynik przez gałąź zgodną z OpenAI, zanim UserCanvasService.accessible() sprawdzi uprawnienia do agenta. Uwierzytelniony użytkownik znający UUID prywatnego agenta innego użytkownika może go uruchomić i odczytać wynik w poprzek granicy użytkownika lub tenanta.

infiniflow ragflow 0.25.3 zawiera nieprawidłową kontrolę dostępu w funkcji resume (api/apps/connector_app.py). W zależności od wystawionego punktu wejścia, atakujący może przeprowadzić nieautoryzowane operacje między sesjami lub z podniesieniem uprawnień.

Ragflow 0.24.0 i wcześniejsze zawiera nieprawidłową kontrolę dostępu w funkcji update_metadata_setting (api/apps/kb_app.py). W zależności od wystawionego punktu wejścia, atakujący może przeprowadzić nieautoryzowane operacje między sesjami lub z podniesieniem uprawnień.

infiniflow ragflow 0.24.0 jest podatny na nieprawidłową kontrolę dostępu przez funkcję run_mindmap. Osiągalna ścieżka akceptuje wybrany przez wywołującego identyfikator obiektu lub dzierżawcy i dociera do operacji dostępu do danych bez widocznego powiązania właściciela, dzierżawcy, przestrzeni roboczej lub członkostwa.