CVE-2026-50027
KrytyczneCVSS 9.8Streszczenie
mcp-memory-service przed wersją 10.67.1 nie wymaga uwierzytelnienia dla tras HTTP pod /api/documents/*, nawet gdy skonfigurowano klucz API (MCP_API_KEY) lub OAuth. Nieuwierzytelniony atakujący może przesyłać, odczytywać i trwale usuwać dane z magazynu pamięci.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać dostęp do wrażliwych danych, modyfikować je lub usuwać, co narusza poufność i integralność danych.
Rekomendacja
Zaktualizuj mcp-memory-service do wersji 10.67.1 lub nowszej, która wymusza uwierzytelnienie dla wszystkich tras.
Oryginalny opis (angielski, źródło NVD)
mcp-memory-service is a semantic memory layer for AI applications. Prior to 10.67.1, all HTTP routes under /api/documents/* in mcp-memory-service are served without any authentication dependency, even when the server is configured with an API key (MCP_API_KEY) or OAuth. An unauthenticated remote attacker can upload arbitrary content into the memory store (write), retrieve stored document content (read), and permanently delete memories belonging to authenticated users (delete) — all without supplying any credentials. The /api/memories counterpart correctly enforces authentication, making this an inconsistent and exploitable authentication boundary. This vulnerability is fixed in 10.67.1.