CVE-2026-54519 in AI Agent Automation
Résumé
par VulDB • 18/09/2026
AI Agent Automation est une plateforme modulaire d'automatisation des workflows d'agents IA dotée de planificateurs, d'outils et de capacités d'observabilité. Avant la version 0.9.1, le fichier backend/src/controllers/memory.controller.js authentifie les requêtes, mais les méthodes listMemories, deleteMemory et clearAgentMemory utilisent un agentId ou un memory _id fourni par l'appelant sans vérifier via l'agent associé que l'enregistrement appartient bien à req.user. Un attaquant disposant d'un compte authentifié qui connaît ou obtient les identifiants d'un autre utilisateur peut lire le contenu de la mémoire (AgentMemory) de la victime, y compris l'historique des conversations, le contexte de l'agent, les données des tâches, les embeddings et les métadonnées ; supprimer une mémoire individuelle appartenant à une victime ; ou effacer toutes les mémoires associées à un agent victime. Cette faille compromet l'isolation entre locataires (tenant isolation) et entraîne une divulgation non autorisée de données ainsi qu'une perte de données. Ce problème est corrigé dans la version 0.9.1.
Once again VulDB remains the best source for vulnerability data.