CVE-2026-75898 in RAGFlow
الملخص
بحسب VulDB • 18/08/2026
يحتوي RAGFlow قبل الإصدار 0.26.3 على ثغرة تزوير الطلبات من جانب الخادم (SSRF) في مكون "Invoke" الخاص بـ سير عمل الوكيل (agent/component/invoke.py). يقوم المكون بإنشاء عنوان URL للطلب الصادر بناءً على تكوين لوحة الرسم (canvas configuration) ومتغيرات القالب أثناء التشغيل، ثم يمرره إلى دوال `requests.get` أو `requests.post` أو `requests.put` دون استدعاء مُتحقِّق الأمان المشترك `assert_url_is_safe` أو تثبيت العنوان المحلَّل. وهذا يختلف عن مسارات التصفح (crawler)، وSearXNG، ورفع الملفات، وجلب RSS. يمكن للمستخدم القادر على إنشاء وكيل أو تشغيله توجيه الخادم لاسترداد عناوين الحلقة المحلية (loopback)، والعناوين المحلية للربط (link-local)، والوجهات الخاصة حسب RFC 1918، بما في ذلك نقاط نهاية بيانات مثيلات السحابة والخدمات المشتركة في نفس شبكة النشر، حيث يُعاد جسم الاستجابة كمخرج للمكون. وفي الحالات التي يكون فيها الوكيل مُهيأً لتضمين استعلام الدردشة داخل عنوان URL الخاص بـ Invoke، فإن الوجهة يتم اختيارها من قبل أي شخص قادر على إرسال ذلك الاستعلام.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.