PT-2025-12148
CVE-2024-12779
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-20
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
infiniflow/ragflow الإصدار 0.12.0
الوصف
توجد ثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF)، مما يسمح للمهاجمين بتحديد عنوان URL تعسفي كـ
api base عند إضافة نموذج OPENAITTS. قد يؤدي ذلك إلى وصول غير مصرح به إلى موارد الويب الداخلية عبر نقاط النهاية POST /v1/llm/add llm وPOST /v1/conversation/tts.التوصيات
بالنسبة لإصدار infiniflow/ragflow 0.12.0، كحل مؤقت، يُنصح بتقييد الوصول إلى نقاط النهاية
POST /v1/llm/add llm وPOST /v1/conversation/tts حتى يتوفر تصحيح لهذا الخلل. تجنب استخدام المتغير api base في نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة لتقليل مخاطر الاستغلال. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾