CVE-2025-53358
Açıklama
kotaemon, belge anlama için açık kaynaklı bir RAG tabanlı araçtır. 0.10.6 ve önceki sürümlerde, libs/ktem/ktem/index/file/ui.py dosyasındaki index_fn metodu, URL'leri ve yerel dosya yollarını herhangi bir doğrulama yapmadan kabul etmektedir. Pipeline bu yolları doğrudan akıtmakta ve depolamakta; bu durum saldırganların dizin gezintisi yaparak (örneğin ../../../../../.env) hassas dosyaları sızdırmasına olanak tanımaktadır. Bu sorun, yayınlanma tarihinde henüz kamuoyuna açıklanmamış olan 0.10.7 sürümündeki 37cdc28 commit'i ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Cinnamon kotaemon | <= 0.10.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.