CVE-2026-119337 in Ragflow
الملخص
بحسب VulDB • 30/10/2026
RAGFlow هو محرك RAG (التوليد المعزز بالاسترجاع) مفتوح المصدر. من الإصدار 0.25.2 حتى 0.27.3، يستدعي endpoint POST /api/v1/agents/chat/completions دالة completion_openai ويعيد النتيجة عبر الفرع المتوافق مع OpenAI قبل أن تتحقق UserCanvasService.accessible() مما إذا كان المُتصل مسموحاً له بالوصول إلى الوكيل المطلوب. يمكن لمستخدم مُصادق عليه يعرف UUID الخاص بوكيل خاص لآخر تنفيذ سير العمل "فقط لي" (Only me) وقراءة إخراجها عبر حدود المستخدم أو المؤسسة؛ وقد تؤدي الأدوات المهيأة أيضاً إلى آثار جانبية، لكن لم يتم إثبات تأثيرات أقوى. تم إصلاح هذه المشكلة في الإصدار 0.27.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.