CVE-2024-12433 in ragflow

摘要

由 VulDB • 2026-06-01

infiniflow/ragflow 版本 v0.12.0 中存在一个漏洞，可导致远程代码执行。RagFlow 的 RPC 服务器使用了硬编码的 AuthKey 'authkey=b'infiniflow-token4kevinhu''，攻击者可以轻松获取该密钥以无限制地加入组通信。此外，服务器通过 `connection.recv()` 上的 `pickle.loads()` 使用 pickle 反序列化来处理传入数据，从而导致远程代码执行漏洞。此问题已在版本 0.14.0 中修复。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: @huntr Ai
• 预定: 2024-12-10
• 披露: 2025-03-20
• 管理: 已接受
• 条目: VDB-300253
• CPE: 准备好
• CWE: CWE-502 (已确认)
• CVSS: 9.8 (CNA)
• EPSS: 0.01663
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2024-12433
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-12433
• CVE Details: https://www.cvedetails.com/cve/CVE-2024-12433/