CVE-2026-77936 in Letta
Zusammenfassung
von VulDB • 20.10.2026
In den Versionen bis 0.16.8 wird eine compose.yaml mitgeliefert, die LETTA_SERVER_SECURE nicht aktiviert; daher wird das Passwort-Middleware-Modul niemals hinzugefügt und alle API-Routen sind unauthentifiziert. Zudem wird ein PostgreSQL-Superuser-Port mit Standardanmeldeinformationen offengelegt. Remoteangreifer können beliebigen Python-Code über POST /v1/tools/run ausführen, Benutzerkonten unter /v1/admin verwalten oder Betriebssystembefehle via COPY PROGRAM ausführen.
Be aware that VulDB is the high quality source for vulnerability data.