CVE-2026-49948
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wersje Mem0 do 0.2.8 zawierają lukę w autoryzacji w komponencie serwera samodzielnie hostowanego, gdzie punkt końcowy POST /configure modyfikuje globalną konfigurację dostawcy LLM i osadzacza, ale nie weryfikuje roli wywołującego. Każdy uwierzytelniony użytkownik z kluczem API może przekierować ruch do serwera kontrolowanego przez atakującego.
Ocena ryzyka
Luka ta pozwala na trwałe wprowadzenie złośliwej konfiguracji do bazy danych PostgreSQL, co może wpłynąć na wszystkich użytkowników i klucze API w instancji, stwarzając poważne zagrożenie dla bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację do wersji Mem0 po 0.2.8, aby usunąć tę lukę oraz wdrożenie dodatkowych mechanizmów weryfikacji roli użytkowników przy modyfikacji konfiguracji.
Oryginalny opis (angielski, źródło NVD)
Mem0 versions through 0.2.8, fixed in commit ae7f406, contain a missing authorization vulnerability in the self-hosted server component where the POST /configure endpoint modifies global LLM provider and embedder configuration but only verifies authentication via JWT or X-API-Key without validating the caller's role. Any authenticated user holding a distributed API key can redirect all LLM and embedder traffic to an attacker-controlled server, with the malicious configuration persisted to PostgreSQL and surviving server restarts to affect all users and API keys on the instance.