InfiniFlow RAGFlow: Fehlende Zugriffskontrolle im Endpunkt get_dataset
Zusammenfassung
RAGFlow 0.24.0 enthält eine unzureichende Zugriffskontrolle in der Funktion get_dataset der Evaluations-API (api/apps/evaluation_app). Laut CVE-Eintrag kann ein Angreifer auf Daten oder Funktionen zugreifen, auf die er keinen Anspruch hat, und je nach exponiertem Einstiegspunkt ist auch die Ausführung von Code oder Befehlen möglich. Der CVE-Eintrag und die öffentliche Beschreibung bestätigen nicht, welcher Einstiegspunkt die Codeausführung ermöglicht, und der CVSS-Wert von 9.8 spiegelt die ungünstigste Annahme wider. Die öffentliche Beschreibung nennt ein Szenario mit zwei regulären Benutzerkonten, womit ein angemeldeter Benutzer mit geringen Rechten genügen könnte, dies ist jedoch nicht verifiziert.
Betroffen
- RAGFlow 0.24.0 (gemäss CVE-Eintrag)
- Frühere Versionen: laut einer Drittquelle 0.24.0 oder älter, vom Hersteller nicht bestätigt
- Spätere Versionen: Unbekannt.
Behoben in
Unbekannt.
Umgehung
- Vom Hersteller ist für diesen Endpunkt keine Workaround-Massnahme dokumentiert.
- RAGFlow nicht direkt aus dem Internet erreichbar machen; VPN oder einen authentifizierten Reverse Proxy verwenden.
- Benutzerkonten auf vertrauenswürdige Personen beschränken und bestehende Konten überprüfen.
Ausnutzung
- Nicht in der CISA-KEV-Liste; keine bestätigte Ausnutzung in freier Wildbahn bekannt.
- Die CISA-SSVC-Daten führen die Ausnutzung als "poc" und automatisierbar: ja, was auf einen vorhandenen Proof of Concept hinweist.
- Das Gist des Melders wird referenziert; dessen Inhalt konnte nicht überprüft werden.
- Einzelne Quellen (TheHackerWire) geben an, dass kein öffentlicher PoC existiert; diese Angabe scheint veraltet zu sein.
Unsere Empfehlung
- Prüfen, ob RAGFlow im Einsatz ist und in welcher Version, insbesondere 0.24.0 oder älter.
- Netzwerkzugriff auf RAGFlow auf interne Benutzer oder VPN-Benutzer beschränken; nicht aus dem Internet erreichbar machen.
- Benutzerkonten überprüfen und nicht benötigte Konten entfernen.
- Logs auf ungewöhnliche Anfragen an Evaluations- und Dataset-Endpunkte überwachen.
- Die GitHub-Sicherheitshinweise des Herstellers beobachten und einen Fix sofort einspielen, sobald einer veröffentlicht wird.
- Priorität hoch, falls RAGFlow aus dem Internet erreichbar oder mehreren Benutzern zugänglich ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-51897 gist by Ro1ME gist.github.com
- VulDB CVE-2026-51897 vuldb.com
- OpenCVE CVE-2026-51897 app.opencve.io
- HOL Guard CVE-2026-51897 (CISA ADP Vulnrichment) hol.org
- RAGFlow GitHub issue #15267 github.com
- RAGFlow GitHub security advisory GHSA-8xw3-v6c2-j84j github.com
- TheHackerWire CVE-2026-51897 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.