CVE-2026-54519

ai-agent-automation verificações de propriedade ausentes nas APIs de memória permitiram leitura e exclusão de memória entre usuários.

Aviso primário: GHSA-qv97-83w4-ff86
Crédito do pesquisador: @chaitanyagarware

Em resumo

Resumo

As APIs de memória do backend eram autenticadas, mas não verificavam se os registros de memória solicitados pertenciam ao usuário autenticado. Um usuário que soubesse ou obtivesse o agentId de outro usuário ou o _id da memória poderia consultar ou excluir registros de memória pertencentes a uma conta diferente.

O controlador afetado era backend/src/controllers/memory.controller.js.

Versões afetadas

Versões corrigidas

Cobertura do banco de dados público

Menções públicas adicionais encontradas

• O README do perfil chaitanyagarware/chaitanyagarware faz referência a este CVE/GHSA.
• chaitanyagarware/chaitanyagarware.github.io faz referência a este CVE/GHSA.
• Nenhum resultado de pesquisa mais ampla de issues/repositórios do GitHub foi retornado para os termos exatos do CVE/GHSA durante a varredura de 2026-07-09.

Nota de divulgação

Este repositório é um índice público e uma página de portfólio. Ele intencionalmente resume a vulnerabilidade e fornece links para registros oficiais, em vez de copiar scripts completos de prova de conceito de exploração.