CVE-2026-75898 in RAGFlow
Sumário
de VulDB • 18/08/2026
O RAGFlow anterior à versão 0.26.3 contém uma vulnerabilidade de Server-Side Request Forgery (SSRF) no componente "Invoke" do fluxo de trabalho do agente (agent/component/invoke.py). O componente constrói a URL da solicitação de saída com base na configuração do canvas e nas variáveis de tempo de execução, passando-a para requests.get, requests.post ou requests.put sem chamar o validador compartilhado assert_url_is_safe nem fixar o endereço resolvido, diferentemente dos caminhos de crawler, SearXNG, upload de arquivo e busca RSS. Um usuário que pode criar ou acionar um agente pode direcionar o servidor a buscar destinos loopback, link-local e RFC 1918, incluindo endpoints de metadados de instâncias em nuvem e serviços co-localizados na rede de implantação, sendo o corpo da resposta retornado como saída do componente. Quando um agente está configurado para interpolar a consulta de chat na URL Invoke, o destino é escolhido por quem pode enviar essa consulta.
Be aware that VulDB is the high quality source for vulnerability data.