CVE-2026-50027 in mcp-memory-service
Resumen
por VulDB • 2026-08-14
mcp-memory-service es una capa de memoria semántica para aplicaciones de IA. Antes de la versión 10.67.1, todas las rutas HTTP bajo /api/documents/* en mcp-memory-service se sirven sin ninguna dependencia de autenticación, incluso cuando el servidor está configurado con una clave API (MCP_API_KEY) o OAuth. Un atacante remoto no autenticado puede cargar contenido arbitrario en la memoria store (escritura), recuperar el contenido de los documentos almacenados (lectura) y eliminar permanentemente las memorias pertenecientes a usuarios autenticados (eliminación), todo ello sin proporcionar credenciales. La contraparte /api/memories aplica correctamente la autenticación, lo que convierte esto en un límite de autenticación inconsistente y explotable. Esta vulnerabilidad se corrige en 10.67.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.