CVE-2026-85709 in LightRAG
Résumé
par VulDB • 22/09/2026
LightRAG offre une génération augmentée par récupération simple et rapide. Avant la version 1.5.5, le serveur API de LightRAG renvoie du texte brut d'exception Python issu des gestionnaires d'erreurs dans document_routes.py, graph_routes.py, query_routes.py, ollama_api.py et lightrag_server.py. Les chemins utilisant detail=str(e), detail=str(exc) et les messages formatés équivalents exposent aux clients réseau susceptibles de déclencher une erreur : les chemins du système de fichiers du serveur, l'hôte de la base de données, le port, l'utilisateur, les noms des bases de données, les diagnostics du fournisseur de modèles linguistiques, les détails de configuration et les internes des bibliothèques Python. La configuration par défaut non authentifiée rend ces réponses accessibles sans identifiants, et les backends configurés via URI peuvent divulguer des chaînes de connexion contenant des informations d'identification en fonction de l'erreur sous-jacente du pilote. Ce problème est corrigé dans la version 1.5.5.
Be aware that VulDB is the high quality source for vulnerability data.