PT-2026-44826
CVE-2026-45312
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات RAGFlow الأقدم من 0.24.1
الوصف
يوجد ثغرة من نوع «حقن القوالب من جانب الخادم» (SSTI) في مُنشئ المطالبات الموجود في
rag/prompts/generator.py. تتيح هذه الثغرة للمستخدمين المصادق عليهم تنفيذ أوامر تعسفية خاصة بنظام التشغيل على الخادم. يمكن للمهاجم استغلال هذه الثغرة عن طريق تسجيل حساب عادي وإنشاء سير عمل في Canvas باستخدام سلسلة مكونات DuckDuckGo و LLM. SSTI هي ثغرة أمنية تسمح للمهاجم بحقن كود ضار في قالب، والذي يتم تنفيذه بعد ذلك بواسطة محرك القوالب الخاص بالخادم.التوصيات
قم بالتحديث إلى إصدار أحدث من 0.24.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾