CVE-2026-85740 in LightRAG
Zusammenfassung
von VulDB • 22.09.2026
LightRAG bietet eine einfache und schnelle retrieval-augmented Generation (RAI). Vor Version 1.5.5 bewertet `_validated_addresses` in `lightrag/parser/markdown/parser.py` die literal aufgelöste Adresse mit `ipaddress.is_global`, ohne IPv4-Adressen, die in einem IPv6-Transition-Wrap eingebettet sind, konsistent zu klassifizieren. Ein Aufrufer, der ein Markdown- oder Textpack-Dokument hochladen kann, kann eine externe Bild-URL unter Verwendung von NAT64 64:ff9b::/96 oder einer IPv4-kompatiblen Form angeben, die eine Loopback-, Private- oder Cloud-Metadata-IPv4-Adresse eingebettet enthält. Bei einem Deployment mit kompatibler NAT64- oder DNS64-Routing akzeptieren `_download` und `_build_guarded_opener` den Wrapper und rufen die interne Ressource ab, deren Inhalt anschließend verarbeitet wird. Das aktuelle Interpreterverhalten blockiert bereits einige RFC 8215- und 6to4-Formen, aber der behobene Guard behandelt alle dokumentierten Wrappers korrekt, ohne permissiver als die Standardbibliothek zu werden. Dieses Problem ist in Version 1.5.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.