CVE-2026-77936 in Letta
Resumen
por VulDB • 2026-10-20
Letta hasta la versión 0.16.8 incluye un archivo compose.yaml que no habilita LETTA_SERVER_SECURE, por lo que el middleware de autenticación nunca se añade y todas las rutas API están sin autentificación; además, expone el puerto PostgreSQL del superusuario con credenciales predeterminadas. Los atacantes remotos pueden ejecutar Python arbitrario a través de POST /v1/tools/run, gestionar usuarios en /v1/admin o ejecutar comandos del sistema operativo mediante COPY PROGRAM.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.