FICHE CVE

CVE-2025-69286

Publiée le 2025-12-31 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les instances de RAGFlow antérieures à la version 0.22.0 utilisent une méthode prévisible pour générer les clés API et les jetons de partage. Un attaquant distant non authentifié qui obtient l'URL d'un assistant ou d'un agent partagé peut utiliser ce jeton pour dériver mathématiquement la clé API privée du propriétaire du compte. Une fois cette clé obtenue, l'attaquant acquiert un contrôle administratif complet sur le compte de l'utilisateur concerné.

CVSS 4.08.9 ÉLEVÉE

Type de faiblesse

CWE-340

Publiée2025-12-31

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

RAGFlow is an open-source RAG (Retrieval-Augmented Generation) engine. In versions prior to 0.22.0, the use of an insecure key generation algorithm in the API key and beta (assistant/agent share auth) token generation process allows these tokens to be mutually derivable. Specifically, both tokens are generated using the same `URLSafeTimedSerializer` with predictable inputs, enabling an unauthorized user who obtains the shared assistant/agent URL to derive the personal API key. This grants them full control over the assistant/agent owner's account. Version 0.22.0 fixes the issue.