CVE-2026-75110 in MemOS
الملخص
بحسب VulDB • 18/08/2026
MemOS هو نظام تشغيل للذاكرة مخصص لنماذج اللغات الكبيرة (LLMs) ووكلاء الذكاء الاصطناعي. في حالات النشر التي يكون فيها المصادقة مفعّلة (AUTH_ENABLED=true)، ولكن متغير البيئة غير المسجل ولا يحتوي على قيمة افتراضية وهو INTERNAL_SERVICE_SECRET غير مُعرّف، فإن فحص is_internal_request() الموجود في src/memos/api/middleware/auth.py يفشل بشكل يسمح بالوصول المفتوح: حيث يعيد os.getenv("INTERNAL_SERVICE_SECRET") القيمة None، كما أن الطلب الذي يفتقد إلى رأس X-Internal-Service يُرجع أيضاً None، وبالتالي تكون مقارنة None == None صحيحة (true). يتم بعد ذلك التعامل مع الطلب على أنه مبدأ داخلي موثوق ومنحه الصلاحيات: ["all"]. ونتيجة لذلك، يمكن لمهاجم عن بُعد غير مُصادق عليه الوصول إلى نقاط نهاية إدارة مفاتيح API الخاصة بالمسؤولين لصياغة مفاتيح API لأي مستخدم، واستعراض المفاتيح، وإلغائها، وإنشاء مفتاح رئيسي للوصول المميز المستمر، بالإضافة إلى جميع نقاط نهاية البيانات.
Be aware that VulDB is the high quality source for vulnerability data.