CVE-2026-77936
Açıklama
0.16.8 sürümü dahil Letta, LETTA_SERVER_SECURE seçeneğini etkinleştirmeyen bir compose.yaml ile birlikte gelir; bu nedenle parola ara yazılımı hiçbir zaman eklenmez ve tüm API rotaları kimlik doğrulamasız kalır, ayrıca varsayılan kimlik bilgileriyle bir süper kullanıcı PostgreSQL portu açar. Uzaktaki saldırganlar POST /v1/tools/run üzerinden rastgele Python kodu çalıştırabilir, /v1/admin kullanıcılarını yönetebilir veya COPY PROGRAM aracılığıyla işletim sistemi komutları çalıştırabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| letta-ai letta | v ≤ 0.16.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.