https://alertas.dupin.com.ar/fabricante/infiniflow/Alertas de vulnerabilidades de InfiniFlow.esFri, 06 Nov 2026 17:43:09 +000010https://alertas.dupin.com.ar/cve/CVE-2026-49951/tg:63763Fri, 06 Nov 2026 17:43:09 +0000VulnerabilidadRAGFlow anterior a 0.27.0 contiene una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) que permite a atacantes autenticados forzar al servidor a realizar peticiones a endpoints internos o externos arbitrarios mediante un base_url no validado en el endpoint POST /v1/llm/set_api_key. Los atacantes pueden sondear servicios de red compartida como MySQL, Elasticsearch, Redis, MinIO, la base de datos vectorial Infinity y endpoints de metadatos de la nube, con el texto de excepción devuelto en…https://alertas.dupin.com.ar/cve/CVE-2026-121928/tg:63329Wed, 04 Nov 2026 20:33:15 +0000VulnerabilidadEn InfiniFlow RAGFlow hasta 0.27.2, un procesamiento no especificado del archivo api/utils/file_utils.py, en el componente Images API, permite cross-site scripting (XSS). El ataque puede iniciarse de forma remota y el exploit es público. Se corrige al actualizar a la versión 0.27.3 (parche 9ea0246f8d453a144fb4f903d163b2ba6b91ed2c).https://alertas.dupin.com.ar/cve/CVE-2026-121927/tg:63305Wed, 04 Nov 2026 19:42:50 +0000VulnerabilidadLa función _account_get del archivo common/data_source/seafile_connector.py del componente Seafile Connector en InfiniFlow RAGFlow hasta 0.27.3 permite manipular el argumento seafile_url y provocar falsificación de petición del lado del servidor. El ataque puede ejecutarse de forma remota y el exploit se divulgó públicamente.