RAGFlow OpenAI兼容接口越权访问私有Agent漏洞披露
热点事件持续更新
RAGFlow OpenAI兼容接口越权访问私有Agent漏洞披露
1 篇报道1 个报道来源12 小时前更新
先了解这件事
AI 综述
CVE-2026-119337披露：RAGFlow 0.25.2至0.27.2版本中，通过OpenAI兼容的POST /api/v1/agents/chat/completions接口调用agent时存在授权绕过漏洞。已认证用户若知道他人私有agent的UUID，即可执行权限设为"Only me"的工作流并读取其输出，跨越用户或租户边界；配置的工具也可能产生副作用，但未演示更强影响。 漏洞触发条件为请求设置"openai-compatible": true且目标agent权限为"Only me"，调用方须知道agent的UUID。该问题已在0.27.3版本中修复。
AI 根据报道生成 · 1 小时前更新
最新进展10月31日 04:14
CVE-2026-119337：RAGFlow OpenAI 兼容 agent 补全接口绕过私有 canvas 授权报道时间线
沿着报道，了解事件的不同侧面。
10月31日
- cve.nowCVE-2026-119337：RAGFlow OpenAI 兼容 agent 补全接口绕过私有 canvas 授权
RAGFlow 0.25.2 至 0.27.2 存在授权绕过漏洞 CVE-2026-119337：通过 OpenAI 兼容的 POST /api/v1/agents/chat/completions 接口调用 agent 时。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。