CVE-2026-93013

Nome do Software Vulnerável e Versões Afetadas RAGFlow versões anteriores a 0.27.3

Description Atacantes autenticados podem ler arquivos arbitrários explorando a falta de validação de caminho. Ao fornecer caminhos de arquivos absolutos no parâmetro file path, usuários com tokens de acesso válidos podem acessar qualquer arquivo que o serviço tenha permissão para ler. Este problema afeta os endpoints 'dev insert chunks from file' e 'dev insert metadata from file'. A divulgação é limitada a arquivos que correspondam às estruturas JSON esperadas, que são posteriormente gravados em conjuntos de dados.

Recommendations Atualize o RAGFlow para a versão 0.27.3 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints 'dev insert chunks from file' e 'dev insert metadata from file' ou evite usar o parâmetro file path com caminhos absolutos.