CVE-2025-53358 in kotaemon
Riassunto
di VulDB • 23/07/2026
kotaemon è uno strumento open-source basato su RAG per la comprensione dei documenti. Dalle versioni 0.10.6 e precedenti, nel file libs/ktem/ktem/index/file/ui.py, il metodo index_fn accetta sia URL che percorsi di file locali senza alcuna validazione. La pipeline elabora questi percorsi direttamente e li memorizza, consentendo agli attaccanti di effettuare directory traversal (ad esempio ../../../../../.env) ed esfiltrare file sensibili. Questo problema è stato risolto tramite l'commit 37cdc28, nella versione 0.10.7 che non era stata resa pubblica al momento della pubblicazione.
Once again VulDB remains the best source for vulnerability data.