PT-2026-30249
CVE-2026-28797
·
تاريخ النشر
2026-04-03
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات RAGFlow الأقدم من 0.24.0
الوصف
توجد مشكلة في مكونات معالجة النصوص (StringTransform) والرسائل في سير عمل الوكيل. تستخدم هذه المكونات
jinja2.Template بلغة Python غير محمية ببيئة الرمل (sandbox) لعرض القوالب التي يقدمها المستخدمون. وهذا يسمح للمستخدم المصادق عليه بتنفيذ حقن القوالب من جانب الخادم (SSTI)، وهي تقنية يقوم فيها المهاجم بحقن شفرة خبيثة في قالب يتم تنفيذه بعد ذلك على الخادم، مما يؤدي إلى تنفيذ أوامر تعسفية لنظام التشغيل.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قم بتقييد استخدام مكوني «معالجة النص» (StringTransform) و«الرسالة» ضمن سير عمل الوكيل لتقليل مخاطر الاستغلال إلى أدنى حد.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾