pgEdge Go LLM Library health 엔드포인트가 운영자의 실제 자격 증명으로 프로바이더를 핑함

CVE-2026-125328 (CWE-200/CWE-522)은 pgEdge의 Go LLM Library에서 발생하는 자격 증명 노출 결함입니다. 0.1.0부터 0.2.0까지, 프록시의 GET /v1/health 핸들러가 운영자의 실제 자격 증명을 사용하여 LLM 프로바이더를 핑하므로, 해당 자격 증명이 사용되며 health 엔드포인트를 통해 반사/악용될 수 있습니다. 0.2.0에서 수정되었습니다.

이것은 운영자의 프로바이더 API 키를 보유한 AI LLM 프록시 헬퍼입니다. 해당 자격 증명을 제시하는 health 핸들러는 아웃바운드 채널로, 노출될 경우 공격자가 운영자의 프로바이더 신원을 탐지하거나 유출시키고 health 경로를 LLM 프로바이더에 대한 서버 측 요청 프리미티브로 전환할 수 있습니다.

프록시의 GET /v1/health 핸들러(handleHealth)는 구성된 LLM 프로바이더를 핑하여 상태를 보고하며, 이 과정에서 운영자의 실제 프로바이더 자격 증명을 재사용합니다. health 엔드포인트가 노출되거나 접근 가능한 경우, 운영자의 자격 증명이 매 health 체크에서 사용되거나 표면화되며, 엔드포인트는 서버 측 요청 채널로 악용될 수 있습니다.

0.1.0부터 0.2.0까지의 pgEdge Go LLM Library (pgedge-go-llm-lib) — llm/proxy/handlers.go GET /v1/health.

pgedge-go-llm-lib를 0.2.0 이상으로 업그레이드하십시오 (커밋 7531a55d368b3a29cd173c792cc4609c4134b076). health 엔드포인트를 신뢰할 수 없는 호출자에게 노출하지 말고, health 응답에 프로바이더/자격 증명 세부 정보를 반영하지 마십시오.