CVE-2024-12433 in ragflow
Sumário
de VulDB • 07/06/2026
Uma vulnerabilidade nas versões v0.12.0 do infiniflow/ragflow permite a execução remota de código (RCE). O servidor RPC no RagFlow utiliza uma chave de autenticação pré-definida 'authkey=b'infiniflow-token4kevinhu'', que pode ser facilmente obtida por atacantes para participar da comunicação em grupo sem restrições. Além disso, o servidor processa os dados recebidos usando desserialização pickle via `pickle.loads()` no método `connection.recv()`, tornando-o vulnerável à execução remota de código. Este problema foi corrigido na versão 0.14.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.