CVE-2025-25282
Açıklama
RAGFlow, derin belge anlayışına dayalı açık kaynaklı bir RAG (Retrieval-Augmented Generation) motorudur. Kimliği doğrulanmış bir kullanıcı, yetkisiz kiracı arası erişime (kiracı kullanıcı hesaplarını listeleme, başka bir kiracıya kullanıcı hesabı ekleme) yol açabilecek olan Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetini istismar edebilir. Yetkisiz kiracı arası erişim şunları içerir: diğer kiracıdan kullanıcı listeleme (örneğin, GET /<tenant_id>/user/list aracılığıyla), başka bir kiracıya kullanıcı hesabı ekleme (POST /<tenant_id>/user). Bu sorun henüz yamalanmamıştır. Kullanıcıların, bir düzeltmeyi koordine etmek için proje yöneticileriyle iletişime geçmeleri önerilir.
Nasıl düzeltilir
- infiniflow ragflow0.14.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| infiniflow ragflow | 0.13.0 ≤ v < 0.14.1 | 0.14.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.