Pular para o conteúdo

Uma equipe editorial e uma comunidade que criam com IA

vibecoding.incEntre no Discord
← Todos os artigos

Notícia · pgEdge · 2 min de leitura

Data do fato: · Publicado:

pgEdge revela quatro avisos de segurança em seu stack de RAG e LLM

O GitHub Advisory Database publicou em 12 de novembro de 2026 quatro avisos de segurança sobre negação de serviço, vazamento de chaves de API e vazamento de dados entre clientes no RAG Server e na Go LLM Library da pgEdge.

O GitHub Advisory Database publicou em 12 de novembro de 2026 quatro avisos de segurança sobre o RAG Server e a Go LLM Library de código aberto da pgEdge, detalhando uma falha de negação de serviço sem autenticação, dois problemas distintos de vazamento de chaves de API e um vazamento de dados entre clientes causado por um índice de busca compartilhado. O primeiro aviso, pgEdge RAG Server unauthenticated resource exhaustion, é identificado como CVE-2026-125327.

Quatro avisos, quatro falhas distintas

  • CVE-2026-125327 (GHSA-5qg5-rgp6-j5m5): severidade alta, CVSS 7.5, requisições sem autenticação à busca por palavras-chave do RAG Server podiam reconstruir um índice BM25 completo em memória a cada consulta, causando negação de serviço; corrigido na versão 2.0.0
  • CVE-2026-125326 (GHSA-68g8-gh8f-7rhg): severidade moderada, CVSS 5.8, a API de consultas repassava o texto de erro do provedor de LLM literalmente, vazando fragmentos parcialmente mascarados de chaves de API para chamadas sem autenticação; corrigido na versão 2.0.0
  • CVE-2026-125325 (GHSA-w437-9mwm-j6vq): severidade moderada, CVSS 5.9, um índice BM25 compartilhado entre requisições simultâneas sem autenticação podia retornar os resultados de busca de um usuário para outro, rompendo o isolamento entre clientes; corrigido na versão 2.0.0
  • CVE-2026-125328 (GHSA-8835-xmqj-354h): severidade moderada, CVSS 5.8, o endpoint sem autenticação /v1/health da Go LLM Library retornava texto de erro bruto do provedor que vazava credenciais de API parciais, afetando as versões de 0.1.0 até (sem incluir) 0.2.0; corrigido na versão 0.2.0

O que isso significa para quem constrói aplicações de RAG e LLM

O stack da pgEdge é um proxy de RAG e LLM de código aberto baseado em Postgres, usado para construir aplicações de geração aumentada por recuperação, então essas falhas afetam diretamente pipelines em produção. Os dois problemas de vazamento de credenciais significam que chaves de API parciais podiam ser expostas por meio de simples respostas de texto de erro sem exigir nenhuma autenticação, e a falha do índice compartilhado significa que uma implantação com vários clientes podia retornar silenciosamente os resultados de busca de um cliente para outro cliente.

Versões corrigidas e próximos passos

  • Versões do RAG Server anteriores a 1.0.1 (pré-2.0.0) são afetadas pelos três problemas do RAG Server; atualizar para a versão 2.0.0 resolve todos os três
  • Versões da Go LLM Library de 0.1.0 até (sem incluir) 0.2.0 são afetadas pelo problema de vazamento de credenciais; atualizar para a versão 0.2.0 o resolve

Fontes

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.

pgEdge revela quatro avisos de segurança em seu stack de RAG e LLM | vibecoding.inc