RAGFlowはオープンソースのRAG（Retrieval-Augmented Generation）エンジンです。バージョン0.23.1およびそれ以前のバージョンにおいて、MinerUパーサーに「Zip Slip」脆弱性が存在し、悪意のあるZIPアーカイブを介して攻撃者がサーバ上の任意のファイルを上書きでき、リモートコード実行につながる可能性があります。MinerUParserクラスは外部ソース（mineru_server_url）からZIPファイルを取得して展開しますが、`_extract_zip_no_root`の展開処理でZIPアーカイブ内のファイル名のサニタイズに失敗していました。本問題に対してはコミット64c75d558e4a17a4a48953b4c201526431d8338fで修正パッチが適用されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。