CVE-2026-51897

infiniflow ragflow 0.24.0 jest podatny na nieprawidłową kontrolę dostępu przez funkcję trace_mindmap. Zewnętrznie osiągalna ścieżka akceptuje wybrany przez wywołującego identyfikator obiektu lub dzierżawcy i dociera do operacji dostępu do danych bez widocznego powiązania właściciela, dzierżawcy, przestrzeni roboczej lub członkostwa.

RAGFlow 0.24.0 i wcześniejsze wersje zawierają podatność na wstrzykiwanie szablonów Jinja2 w generatorze promptów (rag/prompts/generator.py). Umożliwia ona każdemu uwierzytelnionemu użytkownikowi wykonanie dowolnych poleceń systemu operacyjnego na serwerze.

RAGFlow to silnik RAG (Retrieval-Augmented Generation) o otwartym kodzie źródłowym. W wersji 0.23.1 i prawdopodobnie wcześniejszych, parser MinerU zawiera podatność 'Zip Slip', pozwalającą atakującemu na nadpisanie dowolnych plików na serwerze (prowadzące do zdalnego wykonania kodu) poprzez złośliwe archiwum ZIP. Klasa MinerUParser pobiera i rozpakowuje pliki ZIP z zewnętrznego źródła (mineru_server_url). Logika ekstrakcji w `_extract_zip_no_root` nie sanityzuje nazw plików w archiwum ZIP. Commit 64c75d558e4a17a4a48953b4c201526431d8338f zawiera poprawkę.

RAGFlow to silnik RAG (Retrieval-Augmented Generation) typu open source. W wersjach przed 0.22.0 użycie niebezpiecznego algorytmu generowania kluczy w procesie tworzenia kluczy API i tokenów beta (współdzielonego uwierzytelniania asystenta/agenta) pozwala na wzajemne wyprowadzenie tych tokenów. Oba tokeny są generowane przy użyciu tego samego `URLSafeTimedSerializer` z przewidywalnymi danymi wejściowymi, co umożliwia nieautoryzowanemu użytkownikowi, który uzyska współdzielony URL asystenta/agenta, wyprowadzenie osobistego klucza API. Daje to pełną kontrolę nad kontem właściciela asystenta/agenta. Wersja 0.22.0 naprawia ten problem.

W RAGFlow od wersji 0.25.2 do 0.27.3 endpoint POST /api/v1/agents/chat/completions wywołuje completion_openai i zwraca wynik przez gałąź zgodną z OpenAI, zanim UserCanvasService.accessible() sprawdzi uprawnienia do agenta. Uwierzytelniony użytkownik znający UUID prywatnego agenta innego użytkownika może go uruchomić i odczytać wynik w poprzek granicy użytkownika lub tenanta.

infiniflow ragflow 0.25.3 zawiera nieprawidłową kontrolę dostępu w funkcji resume (api/apps/connector_app.py). W zależności od wystawionego punktu wejścia, atakujący może przeprowadzić nieautoryzowane operacje między sesjami lub z podniesieniem uprawnień.

Ragflow 0.24.0 i wcześniejsze zawiera nieprawidłową kontrolę dostępu w funkcji update_metadata_setting (api/apps/kb_app.py). W zależności od wystawionego punktu wejścia, atakujący może przeprowadzić nieautoryzowane operacje między sesjami lub z podniesieniem uprawnień.

infiniflow ragflow 0.24.0 jest podatny na nieprawidłową kontrolę dostępu przez funkcję run_mindmap. Osiągalna ścieżka akceptuje wybrany przez wywołującego identyfikator obiektu lub dzierżawcy i dociera do operacji dostępu do danych bez widocznego powiązania właściciela, dzierżawcy, przestrzeni roboczej lub członkostwa.

infiniflow ragflow 0.24.0 jest podatny na nieprawidłową kontrolę dostępu przez endpoint /v1/document/get/<doc_id>. Atakujący może uzyskać dostęp do dokumentów bez odpowiedniej autoryzacji.

RAGFlow do wersji 0.27.2 zawiera podatność na path traversal w endpointach dev_insert_chunks_from_file i dev_insert_metadata_from_file, która pozwala uwierzytelnionym atakującym na odczyt dowolnych plików poprzez podanie bezwzględnych ścieżek w parametrze file_path. Atakujący z ważnymi tokenami dostępu mogą wykorzystać brak walidacji ścieżek do odczytu dowolnych plików dostępnych dla usługi, przy czym ujawnienie jest ograniczone do plików pasujących do oczekiwanych struktur JSON, które są następnie zapisywane do zbiorów danych.