PT-2025-12148 · Unknown · Infiniflow/Ragflow

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-12779

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas infiniflow/ragflow versão 0.12.0

Descrição Existe uma vulnerabilidade de Falsificação de Solicitação no Lado do Servidor (SSRF), permitindo que atacantes especifiquem uma URL arbitrária como api base ao adicionar um modelo OPENAITTS. Isso pode resultar em acesso não autorizado a recursos web internos através dos endpoints POST /v1/llm/add llm e POST /v1/conversation/tts.

Recomendações Para o infiniflow/ragflow versão 0.12.0, como solução temporária, considere restringir o acesso aos endpoints POST /v1/llm/add llm e POST /v1/conversation/tts até que uma correção esteja disponível. Evite utilizar a variável api base nos endpoints de API afetados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-12779

Produtos afetados

Infiniflow/Ragflow

Referências · 5

• 🔥 https://huntr.com/bounties/3cc748ba-2afb-4bfe-8553-10eb6d6dd4f0 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-12779 · Nota de Segurança
• https://t.me/cvenotify/115465 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1902670981971521701 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-12779 · Aviso do Fabricante