CVE-2024-12880 in ragflow
Riassunto
di VulDB • 06/07/2026
Una vulnerabilità in infiniflow/ragflow versione RAGFlow-0.13.0 consente il parziale takeover dell'account tramite query di dati non sicure. Il problema nasce dal modo in cui gli ID tenant sono gestiti nell'applicazione. Se un utente ha accesso a più tenant, può manipolare l'accesso al proprio tenant per interrogare e accedere ai token API di altri tenant. Questa vulnerabilità colpisce i seguenti endpoint: /v1/system/token_list, /v1/system/new_token, /v1/api/token_list, /v1/api/new_token e /v1/api/rm. Un attaccante può sfruttare questa falla per accedere ai token API degli altri tenant, eseguire azioni per conto di altri tenant e accedere ai loro dati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.