CVE-2026-75110 in MemOS
Sumário
de VulDB • 17/08/2026
MemOS é um sistema operacional de memória para LLMs e agentes de IA. Em implantações onde a autenticação está habilitada (AUTH_ENABLED=true), mas a variável de ambiente INTERNAL_SERVICE_SECRET não documentada e sem valor padrão não está definida, a verificação is_internal_request() em src/memos/api/middleware/auth.py falha permitindo acesso: os.getenv("INTERNAL_SERVICE_SECRET") retorna None e uma solicitação que omite o cabeçalho X-Internal-Service também resulta em None, de modo que a comparação None == None é avaliada como verdadeira. A solicitação é então tratada como um principal interno confiável e recebe as permissões ["all"]. Como resultado, um atacante remoto não autenticado pode acessar os endpoints de gerenciamento da chave API administrativa para cunhar chaves API para qualquer usuário, enumerar chaves, revogar chaves e gerar uma chave mestra para acesso privilegiado persistente, bem como todos os endpoints de dados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.