CVE-2026-75110 in MemOS
Résumé
par VulDB • 17/08/2026
MemOS est un système d'exploitation mémoire pour les LLM et les agents IA. Dans les déploiements où l'authentification est activée (AUTH_ENABLED=true) mais que la variable d'environnement INTERNAL_SERVICE_SECRET, non documentée et sans valeur par défaut, n'est pas définie, le contrôle is_internal_request() dans src/memos/api/middleware/auth.py échoue en ouvrant l'accès : os.getenv("INTERNAL_SERVICE_SECRET") renvoie None et une requête omettant l'en-tête X-Internal-Service génère également None, de sorte que la comparaison None == None est évaluée comme vraie. La requête est alors traitée comme un principal interne de confiance et se voit accorder les étendues : ["all"]. Par conséquent, un attaquant distant non authentifié peut accéder aux points de terminaison de gestion des clés API administrateur pour émettre des clés API pour n'importe quel utilisateur, répertorier les clés, révoquer les clés et générer une clé maître pour un accès privilégié persistant, ainsi qu'à tous les points de terminaison de données.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.