CVE-2026-24770: Path traversal Zip Slip no parser MinerU do Infiniflow RAGFlow
A CVE-2026-24770 é uma vulnerabilidade crítica de Zip Slip (CWE-22), um path traversal no parser MinerU do Infiniflow RAGFlow, que afeta a versão 0.23.1 e possivelmente versões anteriores. Segundo o registro, um arquivo ZIP malicioso pode sobrescrever arquivos arbitrários no servidor e potencialmente levar à execução remota de código. Há um patch referenciado no commit 64c75d558e4a17a4a48953b4c201526431d8338f, e o CISA KEV não lista esta CVE.
Visão geral
A CVE-2026-24770 é um problema de Zip Slip classificado como CWE-22 (Path Traversal) no parser MinerU do Infiniflow RAGFlow, um mecanismo de código aberto para Retrieval-Augmented Generation. O registro indica que a rotina de extração não sanitiza os nomes de arquivos contidos em arquivos ZIP obtidos de uma fonte externa.
Impacto
- Segundo o registro, um atacante pode sobrescrever arquivos arbitrários no servidor, o que pode levar à execução remota de código.
- A pontuação do CNA/NVD é 9.8 (CVSS 3.1, vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), classificada como crítica.
- O registro não descreve as condições exatas de exploração além do uso de um arquivo ZIP malicioso.
Produtos e versões afetados
- Produto: Infiniflow RAGFlow, versões até a 0.23.1 inclusive, segundo o registro.
- A descrição menciona "possivelmente versões anteriores", portanto o início exato da faixa afetada é desconhecido.
Status de exploração
A CVE não consta no catálogo KEV da CISA. Não há exploração confirmada no mundo real nas fontes consultadas. A referência de advisory do GitHub possui a tag "Exploit", mas o registro não traz detalhes de nenhum exploit, e esta análise não descreve nenhum.
Correção e mitigação
- Revise o patch no commit referenciado 64c75d558e4a17a4a48953b4c201526431d8338f e aplique-o nas implantações do RAGFlow.
- Consulte o advisory do fornecedor GHSA-v7cf-w7gj-pgf4 para orientações sobre releases corrigidas.
- Restrinja as fontes externas das quais o parser MinerU pode buscar arquivos e execute o RAGFlow com privilégios mínimos e acesso de escrita restrito no sistema de arquivos.
Orientações de detecção
- Monitore a criação ou modificação inesperada de arquivos fora dos diretórios de trabalho esperados do parser após a ingestão de documentos.
- Revise os logs de jobs de parsing do MinerU em busca de arquivos com estrutura incomum ou caminhos de entrada inesperados.
Limitações das informações disponíveis
- O registro não informa um número de versão corrigida; o patch é identificado apenas pelo commit.
- A lista exata de versões afetadas anteriores à 0.23.1 é desconhecida.
- Não há dados de CVSS além da pontuação do CNA, nem dados de EPSS ou SSVC.
Perguntas frequentes
O que é a CVE-2026-24770?
É um path traversal Zip Slip crítico (CWE-22) no parser MinerU do Infiniflow RAGFlow, que afeta a versão 0.23.1 e possivelmente versões anteriores, segundo o registro.
A CVE-2026-24770 é explorada ativamente?
O CISA KEV não lista esta CVE, e não há exploração confirmada no mundo real nas fontes consultadas.
Como tratar a CVE-2026-24770?
Revise e aplique o patch do commit 64c75d558e4a17a4a48953b4c201526431d8338f e consulte o advisory do fornecedor GHSA-v7cf-w7gj-pgf4.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.