RAGFlow 三洞审计：补丁追着漏洞跑，有个版本掉队了

FreeBuf ue, 18 Aug 2026 18推荐指数 7 / 10· 已本地抓取正文

RAGFlow v0.24.0 存在多个高危漏洞，补丁延迟导致用户暴露风险达2.5个月。

01这是什么？

介绍：RAGFlow v0.24.0版本存在三个安全漏洞（SSTI/Zip Slip/API key推导），普通账号可利用这些漏洞获取root权限。补丁在漏洞发现后2.5个月才合入并发布新版本，导致用户在此期间处于安全风险中。

02核心知识点

RAGFlow v0.24.0存在SSTI、Zip Slip和API key推导三个高危漏洞普通账号即可利用这些漏洞获取root权限补丁在漏洞发现后2.5个月才合入并发布新版本用户在此期间处于无保护状态暴露了开源项目安全响应流程的问题

03AI 分析

基于标题与摘要归纳：核心要点是RAGFlow版本更新滞后导致安全风险持续存在。亮点在于揭示了开源项目安全维护的常见问题 - 补丁发布不及时。潜在影响包括用户系统被入侵、数据泄露等安全风险，同时也影响项目信誉。

04应用场景

安全团队评估开源软件风险时参考开发团队制定安全响应流程时借鉴渗透测试人员研究漏洞利用链系统管理员评估补丁更新优先级

05学习建议

学习SSTI、Zip Slip等漏洞原理研究开源项目安全维护最佳实践关注CVE漏洞数据库更新阅读OWASP相关安全指南练习漏洞复现和利用技术

06给 Codex 的 Prompt

Analyze the security vulnerabilities (SSTI, Zip Slip, API key derivation) in RAGFlow v0.24.0, explain how they can be exploited by regular users to gain root access, and discuss the implications of the 2.5-month delay in patch release. Provide recommendations for improving the security response process in open-source projects.

阅读原文 ↗

← 返回今日