CVE-2026-54519

ai-agent-automation des vérifications de propriété manquantes dans les API mémoire ont permis la lecture et la suppression de mémoire entre utilisateurs.

Avis principal : GHSA-qv97-83w4-ff86
Crédit du chercheur : @chaitanyagarware

En un coup d'œil

Résumé

Les API mémoire du backend étaient authentifiées mais ne vérifiaient pas que les enregistrements mémoire demandés appartenaient à l'utilisateur authentifié. Un utilisateur qui connaissait ou obtenait l'agentId ou l'_id mémoire d'un autre utilisateur pouvait interroger ou supprimer des enregistrements mémoire appartenant à un compte différent.

Le contrôleur affecté était backend/src/controllers/memory.controller.js.

Versions affectées

Versions corrigées

Couverture des bases de données publiques

Autres mentions publiques trouvées

• Le README du profil chaitanyagarware/chaitanyagarware fait référence à cette CVE/GHSA.
• chaitanyagarware/chaitanyagarware.github.io fait référence à cette CVE/GHSA.
• Aucun résultat de recherche GitHub plus large (issue/dépôt) n'a été renvoyé pour les termes exacts CVE/GHSA lors du balayage du 2026-07-09.

Note de divulgation

Ce dépôt est un index public et une page d'accueil de portfolio. Il résume intentionnellement la vulnérabilité et renvoie vers des enregistrements faisant autorité plutôt que de copier des scripts d'exploit de preuve de concept complets.