CVE-2026-24770 in ragflow
Сводка
по VulDB • 09.05.2026
RAGFlow — это движок с открытым исходным кодом для RAG (Retrieval-Augmented Generation). В версии 0.23.1 и, возможно, в более ранних версиях парсер MinerU содержит уязвимость «Zip Slip», позволяющую злоумышленнику перезаписывать произвольные файлы на сервере (что приводит к удаленному выполнению кода, RCE) с помощью вредоносного ZIP-архива. Класс MinerUParser получает и извлекает ZIP-файлы из внешнего источника (mineru_server_url). Логика извлечения в функции `_extract_zip_no_root` не осуществляет санитизацию имен файлов внутри ZIP-архива. Коммит 64c75d558e4a17a4a48953b4c201526431d8338f содержит исправление данной проблемы.
Once again VulDB remains the best source for vulnerability data.