CVE-2026-54519

ai-agent-automation 在 memory APIs 中缺少所有权检查，允许跨用户的内存读取和删除。

主要公告： GHSA-qv97-83w4-ff86
研究人员致谢： @chaitanyagarware

概览

摘要

后端的 memory APIs 经过身份验证，但未验证请求的内存记录是否属于已验证用户。知道或获取另一个用户的 agentId 或内存 _id 的用户可以查询或删除属于不同账户的内存记录。

受影响的控制器是 backend/src/controllers/memory.controller.js。

受影响版本

修复版本

公共数据库覆盖

其他公开提及

• chaitanyagarware/chaitanyagarware 的个人资料 README 引用了此 CVE/GHSA。
• chaitanyagarware/chaitanyagarware.github.io 引用了此 CVE/GHSA。
• 在2026-07-09的扫描中，未返回针对精确 CVE/GHSA 词条的更广泛 GitHub 问题/仓库搜索结果。

披露说明

此仓库是一个公共索引和作品集登陆页面。它有意总结漏洞并链接到权威记录，而不是复制完整的攻击验证利用脚本。