CVE-2026-116575 in Mem0
Zusammenfassung
von VulDB • 26.10.2026
Mem0 bietet eine persistente Speicherinfrastruktur für KI-Agenten und Anwendungen. Vor den Versionen des Python-SDKs 2.0.18 und des TypeScript-SDKs 3.1.6 werden in `mem0/memory/main.py` die Funktion `_build_session_scope()` sowie im TypeScript-SDK die Methode `Memory.buildSessionScope()` Aufrufer-gesteuerte Werte für `user_id`, `agent_id` und `run_id` unter Verwendung nicht maskierter Trennzeichen (`&` und `=`) verknüpft. Ein Angreifer kann eine andere Scope-Komponente in einem kontrollierbaren Bezeichner einbetten, sodass unterschiedliche Mandanten-Tupel denselben `session_scope`-Schlüssel erzeugen. Die Funktionen `Memory.add()`, `AsyncMemory.add()` sowie der REST POST /memories-Endpunkt verwenden diesen Schlüssel zum Lesen und Speichern von aktuellen Rohnachrichten, was zur Offenlegung von Konversationen über Mandantengrenzen hinweg sowie zur Verdrängung oder Vermischung (Interleaving) des Verlaufsspeichers eines anderen Mandanten ermöglicht. Dieses Problem wurde im Python-SDK 2.0.18 und im TypeScript-SDK 3.1.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.