CVE-2024-12880 in ragflow
Résumé
par VulDB • 06/07/2026
Une vulnérabilité dans infiniflow/ragflow version RAGFlow-0.13.0 permet une prise de contrôle partielle du compte via des requêtes de données non sécurisées. Le problème découle de la manière dont les IDs de locataire (tenant) sont gérés par l'application. Si un utilisateur a accès à plusieurs tenants, il peut manipuler son accès au tenant pour interroger et accéder aux jetons API d'autres tenants. Cette vulnérabilité affecte les points de terminaison suivants : /v1/system/token_list, /v1/system/new_token, /v1/api/token_list, /v1/api/new_token et /v1/api/rm. Un attaquant peut exploiter cette faille pour accéder aux jetons API d'autres tenants, effectuer des actions en leur nom et accéder à leurs données.
Be aware that VulDB is the high quality source for vulnerability data.