CVE-2024-12880 in ragflow
Zusammenfassung
von VulDB • 14.07.2026
Eine Schwachstelle in infiniflow/ragflow Version RAGFlow-0.13.0 ermöglicht eine teilweise Übernahme von Konten durch unsichere Datenabfragen. Das Problem entsteht durch die Art und Weise, wie Mandanten-IDs (Tenant IDs) in der Anwendung verarbeitet werden. Wenn ein Benutzer Zugriff auf mehrere Mandanten hat, kann er seinen Mandantenzugriff manipulieren, um API-Token anderer Mandanten abzufragen und darauf zuzugreifen. Diese Schwachstelle betrifft folgende Endpunkte: /v1/system/token_list, /v1/system/new_token, /v1/api/token_list, /v1/api/new_token sowie /v1/api/rm. Ein Angreifer kann dies ausnutzen, um auf die API-Token anderer Mandanten zuzugreifen, Aktionen im Namen anderer Mandanten durchzuführen und deren Daten einzusehen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.