CVE-2026-77936 in Letta
요약
\~에 의해 VulDB • 2026. 10. 20.
0.16.8 이하의 Letta는 LETTA_SERVER_SECURE가 활성화되지 않은 compose.yaml을 포함하고 있으므로 비밀번호 미들웨어가 전혀 추가되지 않아 모든 API 라우트가 인증 없이 접근 가능하며, 기본 자격 증명을 사용하는 슈퍼유저 PostgreSQL 포트도 노출됩니다. 원격 공격자는 POST /v1/tools/run을 통해 임의의 Python 코드를 실행하거나, /v1/admin 사용자를 관리하거나, COPY PROGRAM을 통해 OS 명령어를 실행할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.