CVE-2026-85740

LightRAG basit ve hızlı erişimle zenginleştirilmiş üretim (retrieval-augmented generation) sağlar. 1.5.5 sürümünden önce, lightrag/parser/markdown/parser.py içindeki _validated_addresses, bir IPv6 geçiş sarmalayıcısına gömülmüş IPv4 adresini tutarlı bir şekilde sınıflandırmadan çözümlenmiş adresi ipaddress.is_global ile değerlendirir. Markdown veya textpack belgesi yükleyebilen bir çağırıcı; NAT64 64:ff9b::/96 kullanarak veya döngüsel (loopback), özel (private) veya bulut meta veri IPv4 adresi içeren IPv4 uyumlu bir form aracılığıyla harici bir görüntü URL'si sağlayabilir. Uyumlu NAT64 veya DNS64 yönlendirmesine sahip bir dağıtımda, _download ve _build_guarded_opener sarmalayıcıyı kabul eder ve içeriği daha sonra sisteme alınan dahili kaynağı getirir. Mevcut yorumlayıcı davranışı bazı RFC 8215 ve 6to4 formlarını halihazırda engellemektedir, ancak düzeltilen koruma mekanizması standart kütüphaneden daha izin verici hale gelmeden tüm belgelenmiş sarmalayıcıları yönetir. Bu sorun 1.5.5 sürümünde düzeltilmiştir.