CVE-2026-61740
Açıklama
LightRAG basit ve hızlı erişimle güçlendirilmiş üretim (retrieval-augmented generation) sağlar. 1.5.4 sürümünden önce, LightRAG LIGHTRAG_API_KEY ayarlanmış ancak AUTH_ACCOUNTS ayarlanmamış şekilde konuşlandırıldığında, lightrag/api/auth.py dosyasının sabit kodlanmış bir DEFAULT_TOKEN_SECRET değerine geri dönmesi, /auth-status ve /login uç noktalarının konuk JWT'leri oluşturabilmesi ve lightrag/api/utils_api.py içindeki combined_dependency fonksiyonunun API anahtarını kontrol etmeden önce geçerli bir konuk belirtecini kabul etmesi nedeniyle X-API-Key koruması atlatılabilir. Uzaktaki kimliği doğrulanmamış bir saldırgan; belge okuma, yükleme, silme, grafik mutasyonu ve sorgu uç noktaları dahil olmak üzere combined_auth tarafından korunan uç noktaları çağırabilir. Bu güvenlik açığı 1.5.4 sürümünde giderilmiştir.
Nasıl düzeltilir
- lightrag-hku1.5.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lightrag-hkuPyPI | v < 1.5.4 | 1.5.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.