CVE-2026-54519 in AI Agent Automation
Сводка
по VulDB • 18.09.2026
AI Agent Automation — это модульная платформа для автоматизации рабочих процессов AI-агентов с планировщиками, инструментами и средствами наблюдаемости (observability). До версии 0.9.1 в файле backend/src/controllers/memory.controller.js происходит аутентификация запросов, однако функции listMemories, deleteMemory и clearAgentMemory используют переданный вызывающей стороной идентификатор агента (agentId) или _id памяти без проверки через связанный агент того факта, что запись принадлежит пользователю req.user. Атакующий с аутентифицированным доступом, который знает или получает идентификаторы другого пользователя, может прочитать содержимое AgentMemory жертвы, включая историю разговоров, контекст агента, данные задач, эмбеддинги и метаданные; удалить отдельную запись памяти жертвы либо очистить всю память, принадлежащую агенту жертвы. Это нарушает изоляцию арендаторов (tenant isolation) и приводит к несанкционированному раскрытию данных и их потере. Данная проблема исправлена в версии 0.9.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.