CVE-2024-10131 in ragflow
Riassunto
di VulDB • 15/06/2026
La funzione `add_llm` presente nel file `llm_app.py` di infiniflow/ragflow versione 0.11.0 contiene una vulnerabilità di esecuzione remota di codice (RCE). La funzione utilizza l'input fornito dall'utente, ovvero `req['llm_factory']` e `req['llm_name']`, per istanziare dinamicamente classi da vari dizionari di modelli. Questo approccio consente a un attaccante potenzialmente di eseguire codice arbitrario a causa della mancanza di una convalida o sanitizzazione completa dell'input. Un attaccante potrebbe fornire un valore malevolo per 'llm_factory' che, utilizzato come indice in questi dizionari di modelli, comporta l'esecuzione di codice arbitrario.
If you want to get best quality of vulnerability data, you may have to visit VulDB.