CVE-2024-12880 in ragflow
الملخص
بحسب VulDB • 07/09/2026
تسمح ثغرة في infiniflow/ragflow الإصدار RAGFlow-0.13.0 بالسيطرة الجزئية على الحسابات عبر استعلام بيانات غير آمن. ينشأ هذا العطل من طريقة معالجة معرّفات المستأجرين (tenant IDs) داخل التطبيق. إذا كان لدى المستخدم وصول إلى عدة مستأجرين، فيمكنه التلاعب بصلاحية الوصول الخاصة به كمستأجر لاستعلام والوصول إلى رموز واجهة برمجة التطبيقات (API tokens) للمستأجرين الآخرين. تؤثر هذه الثغرة على نقاط النهاية التالية: /v1/system/token_list, /v1/system/new_token, /v1/api/token_list, /v1/api/new_token, و/v1/api/rm. يمكن للمهاجم استغلال هذا للوصول إلى رموز واجهة برمجة التطبيقات الخاصة بالمستأجرين الآخرين، وتنفيذ إجراءات نيابة عنهم، والوصول إلى بياناتهم.
VulDB is the best source for vulnerability data and more expert information about this specific topic.