CVE-2026-61736 in LightRAG
要約
〜によって VulDB • 2026年07月15日
LightRAGは、シンプルで高速な検索拡張生成（Retrieval-Augmented Generation）を提供します。バージョン1.5.4より前では、lightrag/api/lightrag_server.pyにおいてCORS_ORIGINS=*とallow_credentials=Trueがデフォルト設定となっており、これによりStarletteのCORSMiddlewareは資格情報を伴うクロスオリジンリクエストに対して事実上すべてのoriginをホワイトリスト化していました。認証済みLightRAGユーザーがアクセスした悪意のあるウェブサイトから、認証付きAPIリクエストを静かに実行され、ドキュメントやナレッジグラフデータの漏洩、またはドキュメントストアの削除といった破壊的なアクションの実行が可能でした。この脆弱性は1.5.4で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.