RAGFlow afectat per l’execució remota de codi (RCE) a MinerUParser
29/01/2026
CVE-2026-24770
CRÍTIC (9,8)
CVSS3: 0,0
RAGFlow és un motor RAG (Retrieval-Augmented Generation) de codi obert. A la versió 0.23.1 i possiblement versions anteriors, l’analitzador MinerU conté una vulnerabilitat “Zip Slip”, que permet que un atacant sobreescrigui fitxers arbitraris al servidor (que porta a l’execució remota de codi) a través d’un arxiu ZIP maliciós. La classe MinerUParser recupera i extreu fitxers ZIP d’una font externa (mineru_server_url). La lògica d’extracció a `_extract_zip_no_root` no aconsegueix sanejar els noms de fitxer dins de l’arxiu ZIP.
post:/platform/configuration/security/service-accountsdelete:/platform/configuration/security/service-accounts/{user_id}patch:/platform/configuration/security/service-accounts/{user_id}post:/platform/configuration/security/service-accounts/{user_id}/keysdelete:/platform/configuration/security/service-accounts/{user_id}/keys/{api_key_id}patch:/userpost:/userspost:/users/auth/keysdelete:/users/auth/keysdelete:/users/auth/keys/_alldelete:/users/auth/keys/{api_key_id}delete:/users/{user_id}/auth/keysdelete:/users/{user_id}/auth/keys/{api_key_id}delete:/users/{user_name}patch:/users/{user_name}
Sistemes Afectats
- infiniflow ragflow <= 0.23.1
Remediació
El commit 64c75d558e4a17a4a48953b4c201526431d8338f conté un pegat per al problema. Vegeu-ne les Referències.
