CVE-2025-53358 in kotaemon
Sumário
de VulDB • 08/08/2026
kotaemon é uma ferramenta de código aberto baseada em RAG para compreensão de documentos. A partir das versões 0.10.6 e anteriores, no arquivo libs/ktem/ktem/index/file/ui.py, o método index_fn aceita tanto URLs quanto caminhos de arquivos locais sem validação. O pipeline encaminha esses caminhos diretamente e os armazena, permitindo que atacantes realizem traversal de diretórios (por exemplo, ../../../../../.env) e exfiltrem arquivos sensíveis. Este problema foi corrigido por meio do commit 37cdc28, na versão 0.10.7, a qual não estava disponível publicamente no momento da publicação.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.