CVE-2026-13511
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 — wyżej niż 12% wszystkich znanych CVE
Streszczenie
W VoltAgent do wersji 2.1.17 wykryto podatność w komponencie Memory REST API. Funkcja handleGetMemoryConversation w pliku memory.handlers.ts nieprawidłowo autoryzuje dostęp po manipulacji argumentem conversationId. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do danych przechowywanych w pamięci aplikacji, co może prowadzić do wycieku poufnych informacji. Publicznie dostępny exploit zwiększa ryzyko ataku.
Rekomendacja
Należy natychmiast zastosować dostępną łatkę lub zaimplementować tymczasowe zabezpieczenia, takie jak wzmocnienie walidacji argumentu conversationId oraz ograniczenie dostępu do API tylko dla zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in VoltAgent up to 2.1.17. Affected by this issue is the function handleGetMemoryConversation of the file packages/server-core/src/handlers/memory.handlers.ts of the component Memory REST API. Executing a manipulation of the argument conversationId can lead to improper authorization. The attack may be performed from remote. This attack is characterized by high complexity. The exploitation is known to be difficult. The exploit has been publicly disclosed and may be utilized. The pull request to fix this issue awaits acceptance.