infiniflow RAGFlow: Fehlerhafte Zugriffskontrolle in trace_mindmap
Zusammenfassung
RAGFlow 0.24.0 weist in der Funktion trace_mindmap eine fehlerhafte Zugriffskontrolle auf. Ein extern erreichbarer Pfad akzeptiert einen vom Aufrufer gewählten Objekt- oder Mandantenbezeichner und greift auf Daten zu, ohne Eigentümer, Mandant, Arbeitsbereich oder Mitgliedschaft zu prüfen. Ein Angreifer, der die Anwendung erreichen kann, könnte möglicherweise Daten anderer Benutzer oder Mandanten lesen. Ein öffentlicher Verweis existiert, und der CVSS-Basiswert liegt bei 9.8 (kritisch); ob eine Authentifizierung erforderlich ist, ist durch Primärquellen nicht bestätigt.
Betroffen
- infiniflow RAGFlow 0.24.0 (einzige Version im CVE-Eintrag)
- Andere Versionen: Unbekannt.
Behoben in
- Unbekannt. Zum Zeitpunkt der Recherche wurde keine Herstellerwarnung oder kein Patch für diese CVE gefunden.
Umgehung
- Öffentliche Erreichbarkeit von RAGFlow entfernen; Zugriff über ein VPN oder eine Zero-Trust-Zugriffsschicht führen und auf bekannte Netze oder Benutzer beschränken.
- Externen Zugriff auf den Pfad trace_mindmap am Reverse Proxy sperren, nach vorgängiger Prüfung, da der Routenname nicht verifiziert ist.
- Authentifizierung vor der gesamten Anwendung verlangen (SSO oder Proxy-Authentifizierung).
- Sensible Wissensdatenbanken bis zu einer bestätigten Korrektur nicht in gemeinsam genutzten oder mandantenfähigen Instanzen speichern.
Ausnutzung
- CISA-SSVC-Daten im CVE-Eintrag: Exploitation "poc", Automatable: ja.
- Ein öffentlicher Verweis (GitHub-Gist) ist aufgeführt; dessen Inhalt konnte nicht geprüft werden.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle RAGFlow-Instanzen und deren Versionen inventarisieren und prüfen, ob sie aus dem Internet erreichbar sind.
- Exposition wie unter Workarounds beschrieben sofort einschränken; aus dem Internet erreichbare oder mandantenfähige Instanzen haben hohe Priorität.
- Nicht davon ausgehen, dass ein Upgrade das Problem behebt; zuerst die Korrekturhinweise des Herstellers prüfen.
- Logs auf Anfragen an Mindmap- oder Trace-Endpunkte und auf benutzerübergreifende Datenzugriffe prüfen.
- Die GitHub-Sicherheitswarnungen des Herstellers und den NVD-Eintrag auf eine Korrektur hin überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-51893 reference gist gist.github.com
- VulDB CVE-2026-51893 vuldb.com
- OpenCVE CVE-2026-51893 app.opencve.io
- HOL Guard CVE-2026-51893 CISA ADP hol.org
- TheHackerWire CVE-2026-51893 www.thehackerwire.com
- Strix CVE-2026-51893 www.strix.ai
- RAGFlow GitHub issue 20324 github.com
- RAGFlow GitHub security advisory GHSA-8xw3-v6c2-j84j github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.