PT-2024-35745 · Ragflow · Ragflow

Thanhtung4102 · Publicado 2024-12-09 · Atualizado 2025-07-10 · CVE-2024-53450

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

RAGFlow versão 0.13.0

Descrição

O problema está relacionado a um controle de acesso inadequado no arquivo document-hooks.ts, o que permite o acesso não autorizado aos documentos dos usuários.

Recomendações

Para a versão 0.13.0 do RAGFlow, considere restringir o acesso ao arquivo document-hooks.ts até que uma correção esteja disponível. Como solução temporária, revise e limite as permissões dos usuários para minimizar o risco de acesso não autorizado aos documentos. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

CVE-2024-53450

Produtos afetados

Ragflow

Referências · 7

• 🔥 https://github.com/thanhtung4102/Unauthentication-in-Ragflow · Exploit
• https://github.com/infiniflow/ragflow/blob/cec208051f6f5996fefc8f36b6b71231b1807533/web/src/hooks/document-hooks.ts#L23 · Nota
• https://t.me/cvedetector/12415 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-53450 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-53450 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1866432958745153737 · Publicação no Twitter
• https://t.me/cvenotify/128471 · Publicação no Telegram