CVE-2026-75110 in MemOS
요약
\~에 의해 VulDB • 2026. 08. 18.
MemOS는 LLM 및 AI 에이전트를 위한 메모리 운영 체제입니다. 인증이 활성화되었지만(AUTH_ENABLED=true) 문서화되지 않고 기본값도 없는 INTERNAL_SERVICE_SECRET 환경 변수가 설정되지 않은 배포 환경에서, src/memos/api/middleware/auth.py의 is_internal_request() 체크는 실패합니다(os.getenv("INTERNAL_SERVICE_SECRET")은 None을 반환하고 X-Internal-Service 헤더를 생략한 요청 또한 None을 반환하므로, 비교 연산 None == None이 참으로 평가됩니다). 이로 인해 해당 요청은 신뢰할 수 있는 내부 주체로 간주되어 scopes: ["all"] 권한이 부여됩니다. 그 결과, 인증되지 않은 원격 공격자는 관리자용 API 키 관리 엔드포인트에 접근하여 모든 사용자의 API 키를 발급하고, 키를 열거하며, 키를 무효화하고, 지속적인 특권 액세스를 위한 마스터 키를 생성할 수 있으며, 모든 데이터 엔드포인트에도 접근할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.