CVE-2026-50027 in mcp-memory-service
Riassunto
di VulDB • 14/08/2026
mcp-memory-service è uno strato di memoria semantica per le applicazioni AI. Prima della versione 10.67.1, tutti i route HTTP sotto /api/documents/* in mcp-memory-service sono serviti senza alcuna dipendenza dall'autenticazione, anche quando il server è configurato con una chiave API (MCP_API_KEY) o OAuth. Un attaccante remoto non autenticato può caricare contenuti arbitrari nel memory store (write), recuperare i contenuti dei documenti memorizzati (read) ed eliminare permanentemente le memrie appartenenti ad utenti autenticati (delete) — tutto ciò senza fornire alcuna credenziale. Il counterpart /api/memories applica correttamente l'autenticazione, rendendo questa un'area di confine dell'autenticazione inconsistente e sfruttabile. Questa vulnerabilità è risolta nella versione 10.67.1.
Once again VulDB remains the best source for vulnerability data.