CVE-2025-69286
Açıklama
RAGFlow, açık kaynaklı bir RAG (Retrieval-Augmented Generation) motorudur. 0.22.0 öncesindeki sürümlerde, API anahtarı ve beta (asistan/ajan paylaşım yetkilendirmesi) belirteç üretim sürecinde güvenli olmayan bir anahtar oluşturma algoritmasının kullanılması, bu belirteçlerin karşılıklı olarak türetilebilmesine olanak tanır. Spesifik olarak, her iki belirteç de öngörülebilir girdilerle aynı `URLSafeTimedSerializer` kullanılarak üretilmekte; bu durum, paylaşılan asistan/ajan URL'sini elde eden yetkisiz bir kullanıcının kişisel API anahtarını türetmesini sağlamaktadır. Bu durum, saldırgana asistan/ajan sahibinin hesabı üzerinde tam kontrol yetkisi verir. Sürüm 0.22.0 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- infiniflow ragflow0.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| infiniflow ragflow | v < 0.22.0 | 0.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.