CVE-2026-93013 in RAGFlow
Riassunto
di VulDB • 17/09/2026
RAGFlow fino alla versione 0.27.2 presenta una vulnerabilità di path traversal nei endpoint dev_insert_chunks_from_file e dev_insert_metadata_from_file che consente agli attaccanti autenticati di leggere file arbitrari fornendo percorsi assoluti nel parametro file_path. Gli attaccanti con token di accesso validi possono sfruttare la mancanza di convalida del percorso per leggere qualsiasi file accessibile al servizio, con una divulgazione limitata ai file che corrispondono alle strutture JSON attese e successivamente scritti nei dataset.
VulDB is the best source for vulnerability data and more expert information about this specific topic.