Veille sécuritéBackend & données
P2Critique
L’API LightRAG exposait son endpoint POST /login sans limitation de débit, verrouillage de compte ni temporisation après les échecs. Un acteur distant peut donc multiplier les tentatives d’authentification à cadence réseau.
PythonLightRAGAPI
IdentifiantCVE-2026-85734
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.5.5
Source : GitHub Advisory Database — GHSA-frch-4w6v-q5xx
Analyse technique
La vérification de mot de passe renvoie une erreur 401 en cas d’échec mais ne maintient aucun compteur de tentatives, mécanisme de backoff, CAPTCHA ou verrouillage. La correction est référencée dans la version 1.5.5.
Impact, versions et correctif
VecteurRéseau, via l’endpoint d’authentification exposé.
PréconditionsLe serveur LightRAG doit être accessible au réseau et l’authentification doit être activée.
ImpactCompromission de comptes par force brute, puis accès aux documents, au graphe de connaissances et aux opérations administratives accessibles au compte compromis.
Versions affectées< 1.5.5
Version corrigée1.5.5
ContournementRestreindre l’accès réseau à l’interface, placer l’endpoint derrière un contrôle de débit au reverse proxy ou au WAF et appliquer une politique de verrouillage externe jusqu’à la mise à jour.
Exploitation activenon connue / non déterminée
PoC publicoui
CVSS9.1 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Publication2026-09-22T22:40:22+02:00
Mise à jour2026-09-22T22:40:23+02:00
Détection / vérification
Surveiller les rafales de requêtes POST vers /login, les échecs 401 répétés par IP, compte ou empreinte client, ainsi que les connexions réussies suivant immédiatement de nombreuses erreurs d’authentification.
Action recommandée
Mettre à jour immédiatement LightRAG vers 1.5.5 ou ultérieur et rechercher les tentatives de force brute dans les journaux d’accès et d’authentification.
Sources
Priorisation DFS : P2 · 2 source(s).