CVE-2026-49948
Açıklama
0.2.8 dahil önceki Mem0 sürümleri, ae7f406 commit'i ile düzeltilen, self-hosted server bileşeninde bir yetkilendirme eksikliği zafiyeti içermektedir; burada POST /configure uç noktası, küresel LLM sağlayıcı ve embedder yapılandırmasını değiştirir ancak çağırıcının rolünü doğrulamadan yalnızca JWT veya X-API-Key aracılığıyla kimlik doğrulamasını kontrol eder. Dağıtılmış bir API anahtarına sahip herhangi bir kimliği doğrulanmış kullanıcı, tüm LLM ve embedder trafiğini saldırgan tarafından kontrol edilen bir sunucuya yönlendirebilir; kötü amaçlı yapılandırma PostgreSQL üzerinde kalıcı hale gelerek sunucu yeniden başlatmalarından sonra da etkisini sürdürür ve örnekteki tüm kullanıcıları ve API anahtarlarını etkiler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mem0ai mem0 | v ≤ 0.2.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.