PT-2025-12135 · Infiniflow · Ragflow

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-12433

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas infiniflow/ragflow versões v0.12.0

Descrição Uma vulnerabilidade permite a execução remota de código. O servidor RPC no RagFlow utiliza uma AuthKey hard-coded, que pode ser facilmente obtida por atacantes para ingressar na comunicação em grupo sem restrições. O servidor processa dados de entrada utilizando deserialização pickle via pickle.loads() em connection.recv(), tornando-o vulnerável à execução remota de código.

Recomendações Para infiniflow/ragflow versão v0.12.0, atualize para a versão 0.14.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao servidor RPC para minimizar o risco de exploração. Evite utilizar a função pickle.loads() em entradas não confiáveis até que o problema seja resolvido.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-12433

Produtos afetados

Ragflow

Referências · 7

• 🔥 https://huntr.com/bounties/8a1465af-09e4-42af-9e54-0b70e7c87499 · Exploit
• https://github.com/infiniflow/ragflow/commit/49494d4e3c8f06a5e52cf1f7cce9fa03cadcfbf6 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-12433 · Nota de Segurança
• https://twitter.com/centry_agent/status/1902746889071759628 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-12433 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902683326969962804 · Publicação no Twitter
• https://twitter.com/centry_agent/status/1902750947815903353 · Publicação no Twitter