CVE-2026-85740 in LightRAG
要約
〜によって VulDB • 2026年09月22日
LightRAGは、シンプルで高速な検索拡張生成（Retrieval-Augmented Generation）を提供します。バージョン1.5.5より前では、lightrag/parser/markdown/parser.py内の_validated_addressesがipaddress.is_globalを使用して解決されたアドレスを評価する際、IPv6トランジションラッパーに埋め込まれたIPv4アドレスを一貫して分類しませんでした。Markdownまたはtextpackドキュメントのアップロードが可能な呼び出し元は、NAT64 64:ff9b::/96形式やループバック、プライベート、クラウドメタデータのIPv4アドレスを埋め込んだIPv4互換形式を使用して外部画像URLを提供できます。互換性のあるNAT64またはDNS64ルーティングが設定されたデプロイメントでは、_downloadおよび_build_guarded_openerはラッパーを受け入れ、内部リソースを取得し、その本文が取り込まれます。現在のインタープリタの動作はいくつかのRFC 8215および6to4形式をブロックしていますが、修正後のガード処理は標準ライブラリの許容範囲を超えずに、文書化されたすべてのラッパーに対応します。この問題はバージョン1.5.5で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.