CVE-2024-12870
Açıklama
infiniflow/ragflow ürününün main dalındaki son commit'ini (cec2080) etkileyen bir depolanan siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Bu zafiyet, saldırganın rastgele JavaScript yükleri barındırabilen HTML/XML dosyaları yüklemesine olanak tanır. Bu dosyalar, tarayıcılar tarafından otomatik olarak işlenen 'application/xml' içerik türü ile sunulmaktadır. Bu durum, kullanıcının tarayıcısı bağlamında rastgele JavaScript yürütülmesine yol açarak saldırganların çerezleri çalmasına ve kullanıcı dosyaları ile kaynaklarına yetkisiz erişim sağlamasına neden olabilir. Zafiyet kimlik doğrulama gerektirmez, bu da onu örneğe ağ erişimi olan herkes için erişilebilir kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| infiniflow infiniflow/ragflow | v ≤ latest | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.