Endpoint kesehatan pustaka Go LLM pgEdge melakukan ping ke penyedia dengan kredensial asli operator

CVE-2026-125328 (CWE-200/CWE-522) adalah cacat paparan kredensial di pustaka Go LLM pgEdge. Dari versi 0.1.0 hingga 0.2.0, handler GET /v1/health pada proxy melakukan ping ke penyedia LLM menggunakan kredensial asli operator, sehingga kredensial tersebut digunakan dan dapat dipantulkan/disalahgunakan melalui endpoint kesehatan. Diperbaiki pada 0.2.0.

Ini adalah pembantu proxy LLM AI yang menyimpan kunci API penyedia operator; handler kesehatan yang menyajikan kredensial tersebut adalah saluran keluar yang, jika diekspos, memungkinkan penyerang memeriksa atau mengeksfiltrasi identitas penyedia operator dan mengubah rute kesehatan menjadi primitif permintaan sisi server terhadap penyedia LLM.

Handler GET /v1/health pada proxy (handleHealth) melakukan ping ke penyedia LLM yang dikonfigurasi untuk melaporkan status kesehatan dan menggunakan kembali kredensial asli operator untuk melakukannya. Jika endpoint kesehatan diekspos/dapat diakses, kredensial operator digunakan atau ditampilkan pada setiap pemeriksaan kesehatan, dan endpoint tersebut dapat disalahgunakan sebagai saluran permintaan sisi server.

Pustaka Go LLM pgEdge (pgedge-go-llm-lib) dari 0.1.0 hingga 0.2.0 — llm/proxy/handlers.go GET /v1/health.

Tingkatkan pgedge-go-llm-lib ke 0.2.0 atau lebih baru (commit 7531a55d368b3a29cd173c792cc4609c4134b076); jangan mengekspos endpoint kesehatan ke pemanggil yang tidak tepercaya, dan hindari mengembalikan detail penyedia/kredensial dalam respons kesehatan.