安全攻防
evening
AGFlow 三洞审计：补丁追着漏洞跑，有个版本掉队了
2026-08-11
1 阅读
约1分钟阅读
先知社区
字号:
RAGFlow v0.24.0 用户裸奔了 2.5 个月——SSTI 沙箱补丁 3 月才合入、4 月才发版。三个 CVE（SSTI/Zip Slip/API key 推导）都是普通账号起步直接 root，核心问题是"用户输入没边界检查就进了危险函数"。配套开源了 ragflow-audit.py，ssti/zipslip/apikey 三子命令实测复现。
这篇文章对您有帮助吗？
订阅66必读
每日精选科技资讯，直达你的邮箱