CVE-2026-75110 in MemOS
Riassunto
di VulDB • 17/08/2026
MemOS è un sistema operativo di memoria per LLM e agenti AI. Nelle distribuzioni in cui l'autenticazione è abilitata (AUTH_ENABLED=true) ma la variabile d'ambiente INTERNAL_SERVICE_SECRET, non documentata e senza valore predefinito, non è impostata, il controllo is_internal_request() in src/memos/api/middleware/auth.py fallisce aprendosi: os.getenv("INTERNAL_SERVICE_SECRET") restituisce None e una richiesta che omette l'intestazione X-Internal-Service genera anch'essa None, quindi il confronto None == None valuta true. La richiesta viene quindi trattata come un principal interno attendibile e le vengono concessi gli scope: ["all"]. Di conseguenza, un attaccante remoto non autenticato può raggiungere i endpoint di gestione delle chiavi API admin per coniare chiavi API per qualsiasi utente, enumerare le chiavi, revocarle e generare una chiave master per l'accesso privilegiato persistente, nonché accedere a tutti gli altri endpoint dei dati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.