CVE-2026-49948
Təsvir
Mem0-ın 0.2.8 daxil olmaqla versiyaları (ae7f406 commit-ində düzəldilib), özünə məxsus (self-hosted) server komponentində avtorizasiyanın çatışmazlığı zəifliyinə malikdir. Burada POST /configure son nöqtəsi (endpoint) qlobal LLM provayderi və embedder konfiqurasiyasını dəyişir, lakin çağıranın rolunu yoxlamadan yalnız JWT və ya X-API-Key vasitəsilə autentifikasiyanı təsdiqləyir. Paylanmış API açarına sahib olan hər hansı autentifikasiya olunmuş istifadəçi bütün LLM və embedder trafikini hücumçunun nəzarət etdiyi serverə yönləndirə bilər; bu zaman zərərli konfiqurasiya PostgreSQL-də saxlanılır və server yenidən başladıldıqda da qalaraq instansiyadakı bütün istifadəçilərə və API açarlarına təsir edir.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mem0ai mem0 | v ≤ 0.2.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.