CVE-2026-61740

Nome do Software Vulnerável e Versões Afetadas LightRAG versões anteriores a 1.5.4

Description Ocorre uma falha de bypass de autenticação quando o software é implantado com LIGHTRAG API KEY configurado, mas AUTH ACCOUNTS não está definido. Isso acontece porque o arquivo lightrag/api/auth.py retorna a um DEFAULT TOKEN SECRET codificado, permitindo que os endpoints /auth-status e /login gerem JSON Web Tokens (JWTs) de convidado. Além disso, a função combined dependency em lightrag/api/utils api.py aceita esses tokens de convidado antes de verificar a chave de API. Isso permite que um invasor remoto não autenticado acesse endpoints protegidos por combined auth, possibilitando a leitura, upload, exclusão de documentos, mutação de grafo e consultas não autorizadas.

Recommendations Atualize o LightRAG para a versão 1.5.4.