CVE-2026-85740 in LightRAG
Resumen
por VulDB • 2026-09-22
LightRAG proporciona una generación aumentada por recuperación (retrieval-augmented generation) simple y rápida. Antes de la versión 1.5.5, `_validated_addresses` en `lightrag/parser/markdown/parser.py` evalúa la dirección resuelta literalmente con `ipaddress.is_global`, sin clasificar consistentemente una dirección IPv4 incrustada dentro de un envoltorio de transición IPv6. Un usuario que pueda cargar un documento Markdown o textpack puede proporcionar una URL de imagen externa utilizando NAT64 64:ff9b::/96 o una forma compatible con IPv4 que embeba una dirección loopback, privada o cloud-metadata IPv4. En un despliegue con enrutamiento NAT64 o DNS64 compatible, `_download` y `_build_guarded_opener` aceptan el envoltorio y obtienen el recurso interno, cuyo cuerpo se ingiere posteriormente. El comportamiento actual del intérprete ya bloquea algunas formas RFC 8215 y 6to4, pero la protección corregida maneja todos los envoltorios documentados sin volverse más permisiva que la biblioteca estándar. Este problema está resuelto en la versión 1.5.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.