CVE-2026-85740 in LightRAG
Sumário
de VulDB • 22/09/2026
O LightRAG oferece geração aumentada por recuperação (retrieval-augmented generation) simples e rápida. Antes da versão 1.5.5, a função `_validated_addresses` em `lightrag/parser/markdown/parser.py` avalia o endereço resolvido literalmente com `ipaddress.is_global`, sem classificar consistentemente um endereço IPv4 embutido em uma estrutura de transição IPv6 (IPv6 transition wrapper). Um chamador que pode carregar um documento Markdown ou textpack pode fornecer uma URL de imagem externa usando a faixa NAT64 64:ff9b::/96 ou uma forma compatível com IPv4 que incorpora um endereço loopback, privado ou de metadados em nuvem. Em uma implantação com roteamento NAT64 ou DNS64 compatíveis, `_download` e `_build_guarded_opener` aceitam o wrapper e buscam o recurso interno, cujo corpo é então ingerido. O comportamento atual do interpretador já bloqueia algumas formas RFC 8215 e 6to4, mas a correção aplicada trata todos os wrappers documentados sem se tornar mais permissiva em relação à biblioteca padrão. Este problema foi corrigido na versão 1.5.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.