CVE-2026-50027

mcp-memory-service, yapay zeka uygulamaları için anlamsal bir bellek katmanıdır. 10.67.1 sürümünden önce, mcp-memory-service içindeki /api/documents/* altındaki tüm HTTP rotaları, sunucu bir API anahtarı (MCP_API_KEY) veya OAuth ile yapılandırılmış olsa bile herhangi bir kimlik doğrulama bağımlılığı olmadan sunulmaktadır. Kimliği doğrulanmamış bir uzak saldırgan, herhangi bir kimlik bilgisi sağlamadan bellek deposuna rastgele içerik yükleyebilir (yazma), depolanan belge içeriğini alabilir (okuma) ve kimliği doğrulanmış kullanıcılara ait bellekleri kalıcı olarak silebilir (silme). /api/memories karşılığı kimlik doğrulamayı doğru şekilde uygulamaktadır, bu da bunu tutarsız ve sömürülebilir bir kimlik doğrulama sınırı haline getirmektedir. Bu güvenlik açığı 10.67.1 sürümünde giderilmiştir.