CVE-2026-61808
KrytyczneCVSS 9.8Streszczenie
LightRAG do wersji 1.5.4 włącznie ma serwer API, który wiąże się ze wszystkimi interfejsami sieciowymi z wyłączonym uwierzytelnianiem domyślnie, co pozwala nieuwierzytelnionemu atakującemu sieciowemu na odczyt indeksowanych dokumentów, przesyłanie lub usuwanie dokumentów, modyfikację grafu wiedzy, anulowanie potoków, czyszczenie pamięci podręcznej i zużywanie zasobów LLM.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych i zakłócić działanie usługi, co może prowadzić do naruszenia poufności i integralności.
Rekomendacja
Zaktualizuj LightRAG do wersji 1.5.5rc1 lub nowszej, która zawiera złagodzenie problemu.
Oryginalny opis (angielski, źródło NVD)
LightRAG provides simple and fast retrieval-augmented generation. Through version 1.5.4, the LightRAG API server binds to all network interfaces with authentication disabled by default, allowing an unauthenticated network attacker to read indexed document content, upload or delete documents, modify the knowledge graph, cancel pipelines, clear caches, and consume LLM resources. This issue is mitigated in version 1.5.5rc1.