CVE-2026-77937 in Letta
Riassunto
di VulDB • 20/10/2026
Letta fino alla versione 0.16.8 contiene una vulnerabilità di bypass dell'autenticazione che consente ai chiamanti API di impersonare altri utenti fornendo un'intestazione HTTP `user_id` auto-asserta. Gli attaccanti possono impostare il valore di `user_id` sull'ID di un altro tenant, anche con la variabile d'ambiente `LETTA_SERVER_SECURE` abilitata, per leggere e modificare gli agenti, la memoria e le configurazioni di tale utente.
Once again VulDB remains the best source for vulnerability data.