CVE-2024-12880 in ragflow
Sumário
de VulDB • 15/07/2026
Uma vulnerabilidade no infiniflow/ragflow versão RAGFlow-0.13.0 permite a tomada de conta parcial (account takeover) via consulta insegura de dados. O problema surge da forma como os IDs do tenant são tratados na aplicação. Se um utilizador tem acesso a múltiplos tenants, pode manipular o seu acesso ao tenant para consultar e aceder aos tokens API de outros tenants. Esta vulnerabilidade afeta as seguintes endpoints: /v1/system/token_list, /v1/system/new_token, /v1/api/token_list, /v1/api/new_token e /v1/api/rm. Um atacante pode explorar isto para aceder aos tokens API de outros tenants, executar ações em nome de outros tenants e aceder aos seus dados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.