CVE-2026-105141
ŚrednieCVSS 6.3Streszczenie
W topoteretes cognee do wersji 1.5.4 wykryto podatność w funkcji get_user_id_by_email w pliku cognee/modules/users/authentication/get_api_auth_backend.py, w komponencie JWT Signing Key Handler. Manipulacja argumentem FASTAPI_USERS_JWT_SECRET prowadzi do użycia zakodowanych na stałe poświadczeń. Atak można przeprowadzić zdalnie.
Ocena ryzyka
Zdalny atakujący może wykorzystać zakodowane na stałe poświadczenia do uzyskania nieautoryzowanego dostępu. Może to prowadzić do przejęcia kont lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj cognee do wersji 1.6.0 lub nowszej, która zawiera poprawkę fa65fc0cd86cdba48d19aa76e36be862be982f5d. Zaleca się aktualizację podatnego komponentu.
Inne podatności w cognee
Zobacz wszystkie- CVE-2026-58473Krytyczne
Cognee przed wersją 1.2.0 zawiera podatność polegającą na niewłaściwej kontroli dostępu, która umożliwia nieuwierzytelnionym atakującym nadpisanie globalnej konfiguracji dostawcy LLM poprzez samodzielne zarejestrowanie konta i wywołanie endpointu ustawień, który nie wykonuje żadnej kontroli administratora lub superużytkownika. Atakujący mogą przekierować wszystkie operacje LLM w całej instancji na kontrolowany przez siebie endpoint, wykorzystując globalny singletonowy cache konfiguracji, co umożliwia eksfiltrację promptów, przesłanych dokumentów, wyodrębnionych encji oraz treści grafu wiedzy od wszystkich użytkowników.
- CVE-2026-31231Krytyczne
Cognee w wersji do 0.4.0 zawiera krytyczną podatność na zdalne wykonanie kodu w swoim API do wykonywania komórek notatnika. Punkt końcowy wykonuje dowolny kod Python dostarczony przez użytkownika, używając niebezpiecznej funkcji exec() bez żadnego piaskownicy, walidacji ani zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in topoteretes cognee up to 1.5.4. The affected element is the function get_user_id_by_email of the file cognee/modules/users/authentication/get_api_auth_backend.py of the component JWT Signing Key Handler. The manipulation of the argument FASTAPI_USERS_JWT_SECRET results in hard-coded credentials. The attack may be launched remotely. Upgrading to version 1.6.0 is sufficient to fix this issue. The patch is identified as fa65fc0cd86cdba48d19aa76e36be862be982f5d. Upgrading the affected component is advised.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS