CVE-2026-54519

ai-agent-automation la falta de comprobaciones de propiedad en las API de memoria permitía la lectura y eliminación de memoria entre usuarios.

Aviso principal: GHSA-qv97-83w4-ff86
Crédito del investigador: @chaitanyagarware

De un vistazo

Resumen

Las API de memoria del backend estaban autenticadas pero no verificaban que los registros de memoria solicitados pertenecieran al usuario autenticado. Un usuario que conociera u obtuviera el agentId o el _id de memoria de otro usuario podía consultar o eliminar registros de memoria que pertenecían a una cuenta diferente.

El controlador afectado era backend/src/controllers/memory.controller.js.

Versiones afectadas

Versiones corregidas

Cobertura de bases de datos públicas

Menciones públicas adicionales encontradas

• El README del perfil chaitanyagarware/chaitanyagarware hace referencia a este CVE/GHSA.
• chaitanyagarware/chaitanyagarware.github.io hace referencia a este CVE/GHSA.
• No se devolvieron resultados de búsqueda más amplios de issues/repos de GitHub para los términos exactos de CVE/GHSA durante el barrido del 2026-07-09.

Nota de divulgación

Este repositorio es un índice público y una página de inicio de portafolio. Resume intencionalmente la vulnerabilidad y enlaza a registros autoritativos en lugar de copiar scripts de exploit de prueba de concepto completos.