CVE-2026-54519

概要

AI Agent Automationは、スケジューラ、ツール、オブザーバビリティを備えたモジュラー型AIエージェントワークフロー自動化プラットフォームです。0.9.1より前のバージョンでは、backend/src/controllers/memory.controller.jsがリクエストを認証しますが、listMemories、deleteMemory、clearAgentMemoryは、呼び出し元が指定したagentIdまたはmemory _idを使用し、関連するAgentを通じてそのレコードがreq.userに属することを検証していません。他のユーザーの識別子を知っている、または入手した認証済み攻撃者は、会話履歴、エージェントコンテキスト、タスクデータ、埋め込み、メタデータを含む被害者のAgentMemoryコンテンツを読み取ったり、個々の被害者メモリを削除したり、被害者エージェントに属するすべてのメモリを消去したりすることができます。これはテナント分離を破壊し、不正な開示とデータ損失を引き起こします。この問題はバージョン0.9.1で修正されています。

• CVE-2026-54519情報

  CVE-2026-54519 の公開アドバイザリランディングページ。ai-agent-automation メモリ API の所有権チェック欠如により、ユーザー間のメモリ読み取りと削除が可能になります。GHSA、CVE.org、NVD、OSV レコードへのリンクを含みます。