Описание
Уязвимость компонента ExeSQL программной RAG-платформы для вопросно-ответного взаимодействия с документами RAGFlow связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность, целостность и доступность защищаемой информации
Вендор
Сообщество свободного программного обеспечения
Наименование ПО
RAGFlow
Версия ПО
до 0.15.1 включительно (RAGFlow)
Тип ПО
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,9)
Возможные меры по устранению уязвимости
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам;
- сегментирование сети для ограничения доступа к уязвимому устройству;
- минимизация пользовательских привилегий;
- использование межсетевого экрана уровня приложений (WAF) для фильтрации пользовательского ввода;
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 55%
0.00322
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 9.8
nvd
12 месяцев назад
RAGFlow is an open-source RAG (Retrieval-Augmented Generation) engine. Versions 0.15.1 and prior are vulnerable to SQL injection. The ExeSQL component extracts the SQL statement from the input and sends it directly to the database query. As of time of publication, no patched version is available.
EPSS
Процентиль: 55%
0.00322
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2