CVE-2026-59705
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Komponent openmemory/api w projekcie mem0 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym odczyt, zapis i usuwanie dowolnych pamięci użytkowników poprzez dostęp do routerów API zarejestrowanych bez middleware uwierzytelniającego. Atakujący mogą podać dowolny parametr user_id lub bezpośrednio uzyskać dostęp do punktów końcowych pobierania pamięci, ujawniając prywatne treści, a także wywołać punkty końcowe pauzy z parametrem global_pause=true, powodując odmowę usługi dla wszystkich użytkowników.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do poufnych danych użytkowników oraz możliwość całkowitego zakłócenia działania usługi poprzez atak DoS, co może prowadzić do naruszenia prywatności i utraty dostępności systemu.
Rekomendacja
Należy natychmiast dodać middleware uwierzytelniający do wszystkich routerów API w komponencie openmemory/api oraz zweryfikować, czy żaden punkt końcowy nie jest dostępny bez autoryzacji. Wdrożyć również ograniczenia dla parametrów takich jak global_pause.
Oryginalny opis (angielski, źródło NVD)
mem0's openmemory/api component contains an unauthenticated access vulnerability that allows unauthenticated attackers to read, write, and delete arbitrary user memories by accessing API routers registered without authentication middleware. Attackers can supply arbitrary user_id parameters or directly access memory retrieval endpoints to expose private memory content, or invoke pause endpoints with global_pause=true to cause denial-of-service across all users.