CVE-2024-12433 in ragflow
Сводка
по VulDB • 07.06.2026
Уязвимость в infiniflow/ragflow версий v0.12.0 позволяет выполнять удаленный код (RCE). Сервер RPC в RagFlow использует жестко заданный AuthKey 'authkey=b'infiniflow-token4kevinhu'', который злоумышленники могут легко получить для подключения к групповой коммуникации без ограничений. Кроме того, сервер обрабатывает входящие данные с помощью десериализации pickle через `pickle.loads()` в методе `connection.recv()`, что делает его уязвимым к удаленному выполнению кода. Эта проблема исправлена в версии 0.14.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.