Veille sécuritéBackend & données
P4Moyenne
Dans pgEdge RAG Server, l’index BM25 partagé entre les requêtes pouvait être vidé, rempli et consulté au moyen d’opérations verrouillées séparément. Des requêtes concurrentes pouvaient alors chercher dans le corpus chargé par une autre requête et renvoyer des documents d’un autre client ou tenant.
PostgreSQL
IdentifiantCVE-2026-125325
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.0.0
Source : NVD — CVE-2026-125325
Analyse technique
Le problème affecte l’endpoint de requête non authentifié; les réponses concernées ne peuvent pas être identifiées rétrospectivement à partir des journaux serveur.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-10; l’événement retenu est la publication de la vulnérabilité.
ImpactDivulgation possible de documents appartenant à un autre tenant ou client.
Versions affectéesVersions antérieures à 2.0.0
Version corrigée2.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-10T18:17:33.857Z
Mise à jour2026-11-10T18:17:33.857Z
Action recommandée
Mettre à niveau vers pgEdge RAG Server 2.0.0 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).