CVE-2026-31242
KrytyczneStreszczenie
Serwer mem0 w wersji 1.0.0 nie posiada kontroli uwierzytelniania i autoryzacji dla funkcji resetowania pamięci dostępnej przez punkt końcowy DELETE /memories. Nieautoryzowany atakujący może wysłać żądanie DELETE, co prowadzi do wykonania polecenia SQL DROP TABLE, skutkując usunięciem całej tabeli bazy danych pamięci.
Ocena ryzyka
To prowadzi do katastrofalnej utraty danych oraz całkowitego zablokowania usługi dla wszystkich użytkowników. Organizacja narażona jest na poważne konsekwencje związane z utratą danych i dostępności usług.
Rekomendacja
Zaleca się wdrożenie odpowiednich mechanizmów uwierzytelniania i autoryzacji dla punktu końcowego DELETE /memories, aby zapobiec nieautoryzowanym operacjom. Należy również rozważyć regularne tworzenie kopii zapasowych danych.
Inne podatności w mem0 v1.0.0
Zobacz wszystkie- CVE-2026-31240Wysokie
Serwer mem0 w wersji 1.0.0 nie posiada kontroli uwierzytelniania i autoryzacji dla swoich punktów końcowych API zarządzania pamięcią. Krytyczne funkcje, takie jak aktualizacja rekordów pamięci, są dostępne bez weryfikacji tożsamości lub uprawnień żądającego.
- CVE-2026-59705Krytyczne
Komponent openmemory/api w projekcie mem0 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym odczyt, zapis i usuwanie dowolnych pamięci użytkowników poprzez dostęp do routerów API zarejestrowanych bez middleware uwierzytelniającego. Atakujący mogą podać dowolny parametr user_id lub bezpośrednio uzyskać dostęp do punktów końcowych pobierania pamięci, ujawniając prywatne treści, a także wywołać punkty końcowe pauzy z parametrem global_pause=true, powodując odmowę usługi dla wszystkich użytkowników.
- CVE-2026-59706Krytyczne
Podatność w mem0 ujawnia nieuwierzytelnione endpointy API konfiguracji, które udostępniają klucze API LLM w postaci jawnego tekstu oraz umożliwiają fałszowanie żądań po stronie serwera (SSRF) poprzez kontrolowany przez atakującego parametr ollama_base_url. Nieuwierzytelniony atakujący może pobrać przechowywane sekrety, takie jak klucze API OpenAI, za pomocą żądania GET /api/v1/config/ lub przeprowadzić atak SSRF, ustawiając ollama_base_url na adresy wewnętrzne, np. cloud IMDS, za pomocą żądania PUT /api/v1/config/mem0/llm.
- CVE-2026-49948Wysokie
Mem0 w wersjach do 0.2.8 zawiera brak autoryzacji w punkcie końcowym POST /configure. Każdy uwierzytelniony użytkownik z kluczem API może zmienić globalną konfigurację LLM i embeddera, przekierowując cały ruch na kontrolowany przez atakującego serwer. Złośliwa konfiguracja jest trwale zapisywana w PostgreSQL i przetrwa restart serwera.
Oryginalny opis (angielski, źródło NVD)
The mem0 v1.0.0 server lacks authentication and authorization controls for its memory reset functionality accessible via the DELETE /memories endpoint. An unauthenticated attacker can send a DELETE request that triggers a reset operation, leading to the execution of a DROP TABLE SQL statement. This results in the deletion of the entire memory database table, causing catastrophic data loss and a complete denial of service for all users of the service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS