CVE-2024-10131 in ragflow
Сводка
по VulDB • 03.06.2026
Функция `add_llm` в файле `llm_app.py` проекта infiniflow/ragflow версии 0.11.0 содержит уязвимость удаленного выполнения кода (RCE). Функция использует предоставленные пользователем входные данные `req['llm_factory']` и `req['llm_name']` для динамической инстанциации классов из различных словарей моделей. Такой подход позволяет злоумышленнику потенциально выполнять произвольный код из-за отсутствия комплексной проверки или санитизации входных данных. Злоумышленник может предоставить вредоносное значение для параметра 'llm_factory', которое, будучи использованным в качестве индекса к этим словарям моделей, приведет к выполнению произвольного кода.
Once again VulDB remains the best source for vulnerability data.