何が起きたか
CVE-2026-125328（CWE-200/CWE-522）は、pgEdgeのGo LLMライブラリにおける認証情報露出の欠陥です。0.1.0 から 0.2.0 まで、プロキシのGET /v1/healthハンドラーがオペレーターの実際の認証情報を使用してLLMプロバイダーにpingを送るため、これらの認証情報が使用され、ヘルスエンドポイントを通じて反映/悪用される可能性があります。0.2.0で修正されました。
なぜ重要か
これは、オペレーターのプロバイダーAPIキーを保持するAI LLMプロキシヘルパーです。これらの認証情報を提示するヘルスハンドラーはアウトバウンドチャネルであり、露出すると、攻撃者がオペレーターのプロバイダーIDをプローブまたは外部に持ち出すことができ、ヘルスルートをLLMプロバイダーに対するサーバーサイドリクエストプリミティブに変える可能性があります。
攻撃経路
プロキシのGET /v1/healthハンドラー（handleHealth）は、設定されたLLMプロバイダーにpingを送ってヘルスを報告し、その際にオペレーターの実際のプロバイダー認証情報を再利用します。ヘルスエンドポイントが露出/到達可能な場合、オペレーターの認証情報が毎回のヘルスチェックで使用または表面化され、エンドポイントがサーバーサイドリクエストチャネルとして悪用される可能性があります。
影響を受けるシステム
pgEdge Go LLMライブラリ（pgedge-go-llm-lib）0.1.0 から 0.2.0 まで — llm/proxy/handlers.go GET /v1/health。
緩和策
pgedge-go-llm-libを0.2.0以降にアップグレードしてください（コミット 7531a55d368b3a29cd173c792cc4609c4134b076）。ヘルスエンドポイントを信頼できない呼び出し元に公開しないでください。ヘルス応答にプロバイダー/認証情報の詳細をエコーしないようにしてください。