CVE-2026-54519

ai-agent-automation отсутствие проверок принадлежности в API памяти позволило чтение и удаление памяти между пользователями.

Основная рекомендация: GHSA-qv97-83w4-ff86
Автор исследования: @chaitanyagarware

Краткий обзор

Краткое описание

API памяти бэкенда были аутентифицированы, но не проверяли, что запрашиваемые записи памяти принадлежат аутентифицированному пользователю. Пользователь, знавший или получивший agentId другого пользователя или _id памяти, мог запрашивать или удалять записи памяти, принадлежащие другой учетной записи.

Затронутый контроллер: backend/src/controllers/memory.controller.js.

Затронутые версии

Исправленные версии

Охват публичных баз данных

Дополнительные публичные упоминания найдены

• Профиль README chaitanyagarware/chaitanyagarware содержит ссылки на этот CVE/GHSA.
• chaitanyagarware/chaitanyagarware.github.io содержит ссылки на этот CVE/GHSA.
• Поиск по более широким вопросам/репозиториям GitHub не вернул результатов по точным терминам CVE/GHSA во время проверки 2026-07-09.

Примечание о раскрытии

Этот репозиторий является публичным индексом и портфолио-лендингом. Он намеренно суммирует уязвимость и ссылается на авторитетные записи, вместо копирования полных эксплойтов proof-of-concept.