CVE-2026-54519

ai-agent-automation fehlende Besitzerprüfungen in Memory-APIs erlaubten das Lesen und Löschen von Speicherdaten über Benutzergrenzen hinweg.

Primäres Advisory: GHSA-qv97-83w4-ff86
Anerkennung des Forschers: @chaitanyagarware

Auf einen Blick

Zusammenfassung

Die Memory-APIs des Backends waren authentifiziert, überprüften jedoch nicht, ob die angeforderten Speicherdatensätze dem authentifizierten Benutzer gehörten. Ein Benutzer, der die agentId oder die Memory-_id eines anderen Benutzers kannte oder erlangte, konnte Speicherdatensätze abfragen oder löschen, die zu einem anderen Konto gehörten.

Der betroffene Controller war backend/src/controllers/memory.controller.js.

Betroffene Versionen

Behobene Versionen

Abdeckung öffentlicher Datenbanken

Zusätzliche gefundene öffentliche Erwähnungen

• chaitanyagarware/chaitanyagarware profile README verweist auf dieses CVE/GHSA.
• chaitanyagarware/chaitanyagarware.github.io verweist auf dieses CVE/GHSA.
• Bei der Suche vom 2026-07-09 wurden keine weiteren GitHub-Issues oder Repository-Ergebnisse für die genauen CVE/GHSA-Begriffe gefunden.

Offenlegungshinweis

Dieses Repository ist ein öffentlicher Index und eine Portfolio-Landingpage. Es fasst die Schwachstelle absichtlich zusammen und verlinkt auf maßgebliche Aufzeichnungen, anstatt vollständige Proof-of-Concept-Exploit-Skripte zu kopieren.