CVE-2024-12433 in ragflow
Résumé
par VulDB • 07/06/2026
Une vulnérabilité dans infiniflow/ragflow versions v0.12.0 permet l'exécution de code à distance (RCE). Le serveur RPC de RagFlow utilise une clé d'authentification codée en dur 'authkey=b'infiniflow-token4kevinhu'' qui peut être facilement récupérée par les attaquants pour rejoindre la communication de groupe sans restrictions. De plus, le serveur traite les données entrantes à l'aide de la désérialisation pickle via `pickle.loads()` sur `connection.recv()`, ce qui le rend vulnérable à une exécution de code à distance. Ce problème est corrigé dans la version 0.14.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.