CVE-2026-61740
Təsvir
LightRAG sadə və sürətli retrieval-augmented generation təmin edir. Versiya 1.5.4-dən əvvəl, LightRAG LIGHTRAG_API_KEY təyin edilmiş, lakin AUTH_ACCOUNTS təyin edilməmiş şəkildə yerləşdirildikdə, X-API-Key mühafizəsindən yan keçmək mümkündür. Bunun səbəbi lightrag/api/auth.py faylının sabit kodlaşdırılmış DEFAULT_TOKEN_SECRET-ə geri dönməsi, /auth-status və /login son nöqtələrinin qonaq JWT-ləri yarada bilməsi və lightrag/api/utils_api.py faylındakı combined_dependency funksiyasının API açarını yoxlamazdan əvvəl etibarlı qonaq tokenini qəbul etməsidir. Uzaqdakı autentifikasiya olunmamış hücumçu sənədlərin oxunması, yüklənməsi, silinməsi, qraf mutasiyası və sorğu son nöqtələri də daxil olmaqla combined_auth tərəfindən qorunan son nöqtələri çağıra bilər. Bu zəiflik 1.5.4 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- lightrag-hku1.5.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lightrag-hkuPyPI | v < 1.5.4 | 1.5.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.