pgEdge ujawnia cztery zalecenia bezpieczeństwa w stosie RAG i LLM

Baza GitHub Advisory Database opublikowała 12 listopada 2026 roku cztery zalecenia bezpieczeństwa dotyczące otwartoźródłowego RAG Server i Go LLM Library firmy pgEdge, opisujące nieautoryzowaną usterkę odmowy usługi, dwa odrębne przypadki wycieku kluczy API oraz wyciek danych między klientami spowodowany przez współdzielony indeks wyszukiwania. Pierwsze zalecenie, pgEdge RAG Server unauthenticated resource exhaustion, oznaczone jest jako CVE-2026-125327.

Cztery zalecenia, cztery różne błędy

• CVE-2026-125327 (GHSA-5qg5-rgp6-j5m5): wysoka waga, CVSS 7,5, nieautoryzowane żądania do wyszukiwania słów kluczowych w RAG Server mogły przy każdym zapytaniu odbudowywać cały indeks BM25 w pamięci, powodując odmowę usługi; naprawione w wersji 2.0.0
• CVE-2026-125326 (GHSA-68g8-gh8f-7rhg): umiarkowana waga, CVSS 5,8, API zapytań przekazywało treść błędów dostawcy LLM dosłownie, ujawniając częściowo zamaskowane fragmenty kluczy API nieautoryzowanym użytkownikom; naprawione w wersji 2.0.0
• CVE-2026-125325 (GHSA-w437-9mwm-j6vq): umiarkowana waga, CVSS 5,9, współdzielony indeks BM25 przy równoczesnych nieautoryzowanych żądaniach mógł zwracać wyniki wyszukiwania jednego użytkownika innemu, łamiąc izolację wielu klientów; naprawione w wersji 2.0.0
• CVE-2026-125328 (GHSA-8835-xmqj-354h): umiarkowana waga, CVSS 5,8, nieautoryzowany punkt końcowy /v1/health w Go LLM Library zwracał surową treść błędu dostawcy, ujawniając częściowe dane uwierzytelniające API; dotyczy wersji od 0.1.0 do (bez) 0.2.0; naprawione w wersji 0.2.0

Co to znaczy dla twórców aplikacji RAG i LLM

Stos pgEdge to otwartoźródłowy serwer RAG i LLM oparty na Postgresie, używany do budowania aplikacji opartych na wyszukiwaniu wspomaganym generowaniem, więc te błędy trafiają bezpośrednio do produkcyjnych potoków danych. Dwa problemy z wyciekiem danych uwierzytelniających oznaczają, że częściowe klucze API mogły być ujawniane poprzez zwykłe odpowiedzi tekstowe o błędach bez żadnego uwierzytelnienia, a błąd współdzielonego indeksu oznacza, że wdrożenie wielu klientów mogło po cichu zwracać wyniki wyszukiwania jednego klienta innemu klientowi.

Naprawione wersje i dalsze kroki

• Wersje RAG Server wcześniejsze niż 1.0.1 (przed 2.0.0) są objęte trzema problemami RAG Server; aktualizacja do wersji 2.0.0 usuwa wszystkie trzy
• Wersje Go LLM Library od 0.1.0 do (bez) 0.2.0 są objęte problemem wycieku danych uwierzytelniających; aktualizacja do wersji 0.2.0 go usuwa

Źródła

• pgEdge RAG Server unauthenticated resource exhaustion (GitHub Advisory Database, 12 listopada 2026, oficjalne)
• pgEdge RAG Server LLM provider credential disclosure (GitHub Advisory Database, 12 listopada 2026, oficjalne)
• pgEdge RAG Server cross-request data leak (GitHub Advisory Database, 12 listopada 2026, oficjalne)
• pgEdge Go LLM Library API key fragment disclosure (GitHub Advisory Database, 12 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.