- Son 7 gün
- CWE-285
- CWE-639
CVE-2026-121585
InfiniFlow RAGFlow Text To SQL Retrieval sql.go RunSQL authorization
Orta
4,3
CVSS 3.1
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
A security flaw has been discovered in InfiniFlow RAGFlow up to 0.27.2/1.0.0-rc2. This impacts the function RunSQL of the file internal/engine/infinity/sql.go of the component Text To SQL Retrieval. The manipulation of the argument tableName/kbIDs results in authorization bypass. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| infiniflow ragflow | 0.27.0 | – |
| 0.27.1 | – | |
| 0.27.2 | – | |
| 1.0.0-rc1 | – | |
| 1.0.0-rc2 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/infiniflow/ragflow/pull/15124 Yama
- vuldb.com/cve/CVE-2026-121585 Üçüncü taraf
- vuldb.com/submit/1020561 Üçüncü taraf
- github.com/infiniflow/ragflow/issues/15123 Üçüncü taraf
- github.com/ZSH402/RAGFlow-Cross-Tenant-Read İstismar kodu ya da analiz
- vuldb.com/vuln/430429 Diğer
- vuldb.com/vuln/430429/cti Diğer
- github.com/infiniflow/ragflow Diğer
Kayıt geçmişi
- Yayımlandı