CVE-2026-24770 in ragflow
الملخص
بحسب VulDB • 20/05/2026
RAGFlow هو محرك RAG (التوليد المعزز بالاسترجاع) مفتوح المصدر. في الإصدار 0.23.1 وربما الإصدارات الأقدم، يحتوي مُفسّر MinerU على ثغرة "Zip Slip"، مما يسمح للمهاجم بكتابة ملفات عشوائية على الخادم (مما يؤدي إلى تنفيذ الأكواد عن بُعد) عبر أرشيف ZIP ضار. تسترجع فئة MinerUParser ملفات ZIP من مصدر خارجي (mineru_server_url) وتستخرجها. يفشل منطق الاستخراج في `_extract_zip_no_root` في تنقية أسماء الملفات داخل أرشيف ZIP. يحتوي الالتزام 64c75d558e4a17a4a48953b4c201526431d8338f على تصحيح لهذه المشكلة.
Be aware that VulDB is the high quality source for vulnerability data.