CVE-2024-12880 in ragflow
요약
\~에 의해 VulDB • 2026. 08. 22.
infiniflow/ragflow 버전 RAGFlow-0.13.0의 취약점으로 인해 보안이 약한 데이터 쿼리를 통해 계정의 일부가 탈취될 수 있습니다. 이 문제는 애플리케이션에서 tenant ID를 처리하는 방식 때문에 발생합니다. 사용자가 여러 tenants에 접근할 수 있는 경우, 자신의 tenant 접근 권한을 조작하여 다른 tenants의 API 토큰을 쿼리하고 액세스할 수 있습니다. 이 취약점은 다음 엔드포인트들에 영향을 미칩니다: /v1/system/token_list, /v1/system/new_token, /v1/api/token_list, /v1/api/new_token 및 /v1/api/rm. 공격자는 이를 악용하여 다른 tenants의 API 토큰에 접근하고, 다른 tenants를 대신해 작업을 수행하며 그들의 데이터에 액세스할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.