PT-2026-23468 · Exploding Gradients · Ragas

CVE-2025-45691 · Publicado 2026-03-05 · Atualizado 2026-07-13

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P

Nome do Software Vulnerável e Versões Afetadas Exploding Gradients RAGAS versões 0.2.3 a 0.2.14

Descrição Existe uma vulnerabilidade de leitura arbitrária de arquivos na classe ImageTextPromptValue. Isso se deve à validação e sanitização insuficientes das URLs fornecidas no parâmetro retrieved contexts ao processar entradas multimodais.

Recomendações Atualize para uma versão do Exploding Gradients RAGAS mais recente que a versão 0.2.14.

Exploit

Correção

SSRF

Allocation of Resources Without Limits

Path traversal

Enumeração de Fraquezas

CWE-918

CWE-770

CWE-22

Identificadores relacionados

CVE-2025-45691

GHSA-V2XR-WVRV-P969

PYSEC-2026-3047

Produtos afetados

Ragas

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/45xxx/CVE-2025-45691.json · Exploit
• 🔥 https://adithyanak.com/ragas-v0214-arbitrary-file-read-vulnerability · Exploit
• https://github.com/explodinggradients/ragas/blob/e97886ac976465efb60e5949c5d69baf30cc811d/src/ragas/prompt/multi_modal_prompt.py#L202 · Nota
• https://github.com/vibrantlabsai/ragas/pull/1991 · Aviso do Fabricante
• https://github.com/vibrantlabsai/ragas · Nota
• https://github.com/vibrantlabsai/ragas/commit/b28433709cbedbb531db79dadcfbdbd3aa6adcb0 · Nota
• https://github.com/explodinggradients/ragas/pull/1559 · Correção
• https://security.access.redhat.com/data/csaf/v2/vex/2025/cve-2025-45691.json · Nota
• https://t.me/cveNotify/154480 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-45691 · Nota de Segurança
• https://access.redhat.com/security/cve/CVE-2025-45691 · Nota
• https://pypi.org/project/ragas · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2444875 · Nota
• https://twitter.com/CVEnew/status/2030755432013124082 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2026-3047 · Aviso do Fabricante