RAGFlow Afectado por Ejecución Remota de Código (RCE) Zip Slip en MinerUParser

La vulnerabilidad Zip Slip en RAGFlow permite a un atacante explotar la forma en que el componente MinerUParser extrae archivos ZIP. Al proporcionar un archivo ZIP malicioso con nombres de archivo cuidadosamente diseñados, el atacante puede manipular la ruta de extracción y sobrescribir archivos fuera del directorio previsto. Esto puede llevar a la ejecución de código arbitrario en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad de los datos. Un atacante podría, por ejemplo, sobrescribir archivos de configuración críticos o incluso el ejecutable principal de RAGFlow, obteniendo control total sobre el sistema. La severidad crítica de esta vulnerabilidad (CVSS 9.8) refleja el alto riesgo de explotación y el potencial de impacto devastador.

Organizations deploying RAGFlow in production environments, particularly those using it to process data from untrusted sources, are at significant risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a malicious ZIP file uploaded by one user could potentially compromise the entire system.

• python / server:

import zipfile
import os

def check_zip_extraction(zip_file_path, target_directory):
    try:
        with zipfile.ZipFile(zip_file_path, 'r') as zip_ref:
            zip_ref.extractall(target_directory)
        return False  # Extraction successful (potentially vulnerable)
    except Exception as e:
        return True   # Extraction failed (likely protected)

# Example usage (replace with actual paths)
zip_file = '/path/to/suspicious.zip'
target_dir = '/path/to/extraction_directory'
if not check_zip_extraction(zip_file, target_dir):
    print(f"WARNING: Potential Zip Slip vulnerability detected.  Suspicious ZIP file extracted successfully.")
else:
    print("ZIP file extraction failed as expected.")

• linux / server:

find /var/log/ragflow -type f -name '*.zip' -mtime -7 # Look for recent ZIP files
lsof -p $(pidof ragflow) | grep '/path/to/ragflow/mineru_server_url' # Check connections to external URLs

1. 2026-01-27Disclosure

   disclosure

2. 2026-01-27Patch

   patch

1. Reservado2026-01-26
2. Publicada2026-01-27
3. Modificada2026-01-28
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-24770 es actualizar RAGFlow a la versión 0.23.2 o posterior, que incluye una corrección para la vulnerabilidad Zip Slip. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Una posible solución temporal es validar y sanitizar los nombres de archivo extraídos de los archivos ZIP antes de realizar la extracción. Esto puede incluir la eliminación de componentes de ruta relativa (..), la limitación de la longitud de los nombres de archivo y la verificación de que los nombres de archivo extraídos se encuentran dentro de un directorio esperado. Además, se recomienda restringir el acceso al componente MinerUParser y monitorear los registros del sistema en busca de actividades sospechosas relacionadas con la extracción de archivos ZIP. Después de la actualización, confirme la corrección revisando los registros de extracción de archivos ZIP y verificando que los nombres de archivo se validan correctamente.