CVE-2026-54519

ai-agent-automation controlli di proprietà mancanti nelle API di memoria hanno permesso la lettura e l'eliminazione di memoria tra utenti.

Avviso principale: GHSA-qv97-83w4-ff86
Crediti al ricercatore: @chaitanyagarware

In Breve

Riepilogo

Le API di memoria del backend erano autenticate, ma non verificavano che i record di memoria richiesti appartenessero all'utente autenticato. Un utente che conosceva o otteneva un agentId o un _id di memoria di un altro utente poteva interrogare o eliminare record di memoria appartenenti a un account diverso.

Il controller interessato era backend/src/controllers/memory.controller.js.

Versioni Affette

Versioni Corrette

Copertura dei Database Pubblici

Ulteriori Menzioni Pubbliche Trovate

• Il README del profilo chaitanyagarware/chaitanyagarware fa riferimento a questa CVE/GHSA.
• chaitanyagarware/chaitanyagarware.github.io fa riferimento a questa CVE/GHSA.
• Non sono stati restituiti risultati di ricerca più ampi su GitHub issue/repo per i termini esatti CVE/GHSA durante la scansione del 2026-07-09.

Nota sulla Divulgazione

Questo repository è un indice pubblico e una pagina di portafoglio. Riassume intenzionalmente la vulnerabilità e collega a record autorevoli invece di copiare script di exploit proof-of-concept completi.