Endpoint query tanpa autentikasi pgEdge RAG Server dapat membangun ulang seluruh indeks BM25 pada korpus besar (kehabisan sumber daya) (CVE-2026-125327)

Endpoint pengambilan membaca seluruh korpus yang difilter dan membangun ulang indeks BM25 pada setiap permintaan, tanpa LIMIT atau kontrol konkurensi, sehingga satu permintaan terhadap korpus besar dapat menghabiskan sumber daya. CVSS 7.5.

Server RAG diekspos ke agen dan, semakin sering, ke prompt yang dikendalikan penyerang yang mendorong kueri mahal berulang. Endpoint tanpa autentikasi tanpa LIMIT adalah cara murah untuk melumpuhkan lapisan pengambilan yang bergantung pada pipeline RAG/agen produksi.

Endpoint query tanpa autentikasi menggunakan FetchDocuments di internal/database/search.go untuk membaca seluruh korpus yang difilter tanpa LIMIT dan membangun ulang indeks BM25 dalam memori di atasnya, menghabiskan memori/CPU dan menolak layanan.

pgEdge RAG Server < 2.0.0

Tingkatkan pgEdge RAG Server ke 2.0.0 (commit a09d4872356b510c81f11591845445c33ff45a84).