CVE-2024-12880 in ragflow
Tóm tắt
Bởi VulDB • 06/07/2026
Một lỗ hổng trong infiniflow/ragflow phiên bản RAGFlow-0.13.0 cho phép chiếm đoạt một phần tài khoản thông qua truy vấn dữ liệu không an toàn. Vấn đề phát sinh từ cách các ID của tenant (đối tác/khách hàng) được xử lý trong ứng dụng. Nếu người dùng có quyền truy cập vào nhiều tenant, họ có thể thao túng quyền truy cập tenant để truy vấn và lấy token API của các tenant khác. Lỗ hổng này ảnh hưởng đến các endpoint sau: /v1/system/token_list, /v1/system/new_token, /v1/api/token_list, /v1/api/new_token và /v1/api/rm. Kẻ tấn công có thể khai thác lỗ hổng này để truy cập token API của các tenant khác, thực hiện hành động thay mặt cho các tenant đó và truy cập dữ liệu của họ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.