CVE-2025-48187 — 神龙十问 AI 深度分析摘要

🚨 **本质**：RAGFlow 存在**暴力破解**漏洞。 💥 **后果**：攻击者可轻易**接管账户**，完全控制系统。

🔍 **CWE**：CWE-307（不当的身份验证机制）。 🐛 **缺陷**：缺乏有效的**暴力破解防护**机制。

📦 **厂商**：InfiniFlow。 📌 **产品**：RAGFlow。 ⚠️ **版本**：**0.18.1 及之前版本**均受影响。

🔓 **权限**：获取**管理员/用户权限**。 📂 **数据**：可访问所有**RAG 引擎数据**及文档，造成严重泄露。

📶 **网络**：AV:N（网络远程利用）。 🔑 **认证**：PR:N（无需认证）。 🎯 **复杂度**：AC:L（低复杂度），极易利用。

🧪 **PoC**：数据中未提供具体 PoC。 🌍 **在野**：暂无公开在野利用报告，但风险极高。

🔎 **检测**：检查 RAGFlow 版本是否 **≤ 0.18.1**。 📡 **扫描**：监控登录接口的**高频失败请求**，识别暴力破解特征。

🛠️ **补丁**：参考 GitHub 官方 commits 获取最新修复版本。 📝 **链接**：[GitHub Commits](https://github.com/infiniflow/ragflow/commits/main/)。

🛡️ **临时方案**：部署 **WAF** 限制登录频率。 🔒 **加固**：强制启用 **MFA（多因素认证）**，限制 IP 访问。

🔥 **优先级**：**高**。 💡 **建议**：CVSS 评分高（C:H/I:H），建议**立即升级**或实施临时缓解措施。