LightRAG में LightRAG API में JWT एल्गोरिदम भ्रम भेद्यता है

LightRAG API JWT एल्गोरिथम भ्रम (Algorithm Confusion) हमले के प्रति संवेदनशील है। एक हमलावर JWT हेडर में 'alg': 'none' निर्दिष्ट करके टोकन को जाली बना सकता है। चूंकि jwt.decode() कॉल 'none' एल्गोरिथम को स्पष्ट रूप से अस्वीकार नहीं करता है, बिना हस्ताक्षर वाले तैयार किए गए टोकन को मान्य माना जाएगा, जिससे अनधिकृत पहुंच हो सकती है। इस भेद्यता को CVSS 4.2 स्कोर के साथ रेट किया गया है, जो मध्यम जोखिम का संकेत देता है। उचित एल्गोरिथम सत्यापन की कमी से हमलावर प्रमाणीकरण सुरक्षा को दरकिनार कर सकता है, जिससे डेटा अखंडता और गोपनीयता से समझौता हो सकता है।

Organizations deploying LightRAG for API authentication, particularly those using versions 1.4.0 through 1.4.13, are at risk. Shared hosting environments where LightRAG is deployed alongside other applications are also at increased risk, as a compromise of one application could potentially lead to exploitation of this vulnerability.

• python / server:

# Check for vulnerable LightRAG versions
pip list | grep LightRAG

• python / server:

import subprocess
result = subprocess.run(['pip', 'list'], capture_output=True, text=True)
if 'LightRAG' in result.stdout and float(result.stdout.split('LightRAG ')[1].split(' ')[0]) < 1.4.14:
    print('Vulnerable LightRAG version detected!')

• generic web: Inspect API requests for JWT tokens. Look for tokens with the 'alg': 'none' parameter in the header. This is a strong indicator of potential exploitation attempts.

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-07
2. प्रकाशित2026-04-08
3. संशोधित2026-04-22
4. EPSS अद्यतन2026-04-16

इस भेद्यता का समाधान LightRAG को संस्करण 1.4.14 या उच्चतर में अपग्रेड करना है। यह संस्करण उपयोग किए गए JWT एल्गोरिथम को स्पष्ट रूप से मान्य करके समस्या को ठीक करता है। इसके अतिरिक्त, JWT टोकन पर हस्ताक्षर करने के लिए उपयोग की जाने वाली कुंजी के आकस्मिक एक्सपोजर को रोकने के लिए गुप्त कुंजी प्रबंधन प्रथाओं की समीक्षा और मजबूत करने की सिफारिश की जाती है। कुंजी रोटेशन नीति को लागू करने से भी संभावित कुंजी रिसाव के प्रभाव को कम करने में मदद मिल सकती है। संभावित हमलों से अपने सिस्टम की सुरक्षा के लिए इस अपडेट को जल्द से जल्द लागू करना महत्वपूर्ण है।