CVE-2026-82283

WysokieCVSS 8.1

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

VoltAgent do wersji 2.1.20 nie waliduje własności rozmów w handlerach API pamięci, co pozwala uwierzytelnionym użytkownikom na dostęp do rozmów innych użytkowników. Atakujący mogą czytać, modyfikować i usuwać dowolne rozmowy oraz wiadomości, podając identyfikatory kontrolowane przez wywołującego do punktów końcowych pamięci.

Ocena ryzyka

Ryzyko obejmuje naruszenie prywatności użytkowników, nieautoryzowaną modyfikację lub usunięcie danych, co może prowadzić do utraty integralności danych i zaufania.

Rekomendacja

Zaleca się aktualizację VoltAgent do wersji z poprawką oraz wdrożenie walidacji własności zasobów w API. Należy również ograniczyć dostęp do wrażliwych punktów końcowych.

Inne podatności w VoltAgent

CVE-2026-13511Niskie
W VoltAgent do wersji 2.1.17 wykryto podatność w komponencie Memory REST API. Funkcja handleGetMemoryConversation w pliku memory.handlers.ts nieprawidłowo autoryzuje dostęp po manipulacji argumentem conversationId. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność.

Oryginalny opis (angielski, źródło NVD)

VoltAgent through 2.1.20 fails to validate conversation ownership in memory API handlers, allowing authenticated users to access other users' conversations. Attackers can read, modify, and delete arbitrary conversations and messages by supplying caller-controlled identifiers to memory endpoints.