CVE-2026-54519

ai-agent-automation मेमोरी API में स्वामित्व जाँच की कमी के कारण क्रॉस-उपयोगकर्ता मेमोरी पढ़ने और हटाने की अनुमति मिली।

प्राथमिक सलाह: GHSA-qv97-83w4-ff86
शोधकर्ता श्रेय: @chaitanyagarware

एक नज़र में

फ़ील्ड	मान
CVE	CVE-2026-54519
GHSA	GHSA-qv97-83w4-ff86
प्रोजेक्ट	vmDeshpande/ai-agent-automation
पैकेज	backend
इकोसिस्टम	npm
गंभीरता	उच्च
CVSS	8.8, CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
कमज़ोरी	CWE-862
प्रकाशित	GitHub रिपॉजिटरी सलाह: 2026-06-05
पैच किया गया संस्करण	v0.9.1
सार्वजनिक डेटाबेस स्थिति	GitHub रिपॉजिटरी सलाह प्रकाशित; CVE.org, NVD, और OSV ने 2026-07-09 तक कोई रिकॉर्ड वापस नहीं किया

सारांश

बैकएंड मेमोरी API प्रमाणित थे लेकिन उन्होंने यह सत्यापित नहीं किया कि अनुरोधित मेमोरी रिकॉर्ड प्रमाणित उपयोगकर्ता के थे। एक उपयोगकर्ता जो किसी अन्य उपयोगकर्ता का agentId या मेमोरी _id जानता था या प्राप्त कर सकता था, वह किसी भिन्न खाते के मेमोरी रिकॉर्ड को क्वेरी या हटा सकता था।

प्रभावित कंट्रोलर backend/src/controllers/memory.controller.js था।

प्रभावित संस्करण

पैकेज	प्रभावित
backend	<= 0.8.0

स्थिर संस्करण

पैकेज	स्थिर
backend	v0.9.1

सार्वजनिक डेटाबेस कवरेज

स्रोत	स्थिति	लिंक
GitHub रिपॉजिटरी सलाह	प्रकाशित	GHSA-qv97-83w4-ff86
CVE.org	अभी अनुक्रमित नहीं किया गया	CVE detail
NVD	अभी अनुक्रमित नहीं किया गया	NVD detail
OSV	अभी अनुक्रमित नहीं किया गया	OSV lookup

अतिरिक्त सार्वजनिक उल्लेख मिले

• chaitanyagarware/chaitanyagarware प्रोफ़ाइल README इस CVE/GHSA का संदर्भ देता है।
• chaitanyagarware/chaitanyagarware.github.io इस CVE/GHSA का संदर्भ देता है।
• 2026-07-09 के स्कैन के दौरान सटीक CVE/GHSA शब्दों के लिए कोई व्यापक GitHub issue/repo खोज परिणाम वापस नहीं आए।

प्रकटीकरण नोट

यह रिपॉजिटरी एक सार्वजनिक सूचकांक और पोर्टफोलियो लैंडिंग पृष्ठ है। यह जानबूझकर भेद्यता का सारांश प्रस्तुत करता है और पूर्ण प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट स्क्रिप्ट की प्रतिलिपि बनाने के बजाय आधिकारिक रिकॉर्ड से लिंक करता है।