PT-2025-7904 · Ragflow · Ragflow

Agentsec · Publicado 2025-02-25 · Atualizado 2025-02-27 · CVE-2025-27135

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas RAGFlow versões 0.15.1 e anteriores

Descrição O RAGFlow é um mecanismo RAG (Geração Aumentada por Recuperação) de código aberto. O componente ExeSQL extrai a instrução SQL da entrada e a envia diretamente para a consulta ao banco de dados, tornando-o vulnerável à injeção de SQL. Até o momento da publicação, nenhuma versão corrigida está disponível.

Recomendações Para as versões 0.15.1 e anteriores, como solução temporária, considere restringir o acesso ao componente ExeSQL até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2025-14507

CVE-2025-27135

GHSA-3GQJ-66QM-25JQ

Produtos afetados

Ragflow

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/27xxx/CVE-2025-27135.json · Exploit
• 🔥 https://swizzky.notion.site/ragflow-exesql-150ca6df7c03806989cefde915cf8e42 · Exploit
• 🔥 https://swizzky.notion.site/ragflow-exesql-150ca6df7c03806989cefde915cf8e42?pvs=4 · Exploit
• https://github.com/infiniflow/ragflow/security/advisories/GHSA-3gqj-66qm-25jq · Aviso do Fabricante
• https://github.com/infiniflow/ragflow/blob/v0.15.1/agent/component/exesql.py · Nota
• https://bdu.fstec.ru/vul/2025-14507 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-27135 · Aviso do Fabricante
• https://twitter.com/cybercronai/status/1894972059165302817 · Publicação no Twitter
• https://t.me/cvedetector/18902 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-27135 · Nota de Segurança
• https://twitter.com/CVEnew/status/1894458766453870852 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1894455554283548924 · Publicação no Twitter