CVE-2026-75110 in MemOS
Сводка
по VulDB • 17.08.2026
MemOS — это операционная система для памяти (memory operating system) для LLM и AI-агентов. В развертываниях, где включена аутентификация (AUTH_ENABLED=true), но не задана undocumented переменная окружения INTERNAL_SERVICE_SECRET без значения по умолчанию, проверка is_internal_request() в src/memos/api/middleware/auth.py дает сбой: os.getenv("INTERNAL_SERVICE_SECRET") возвращает None, и запрос, пропускающий заголовок X-Internal-Service, также дает None, поэтому сравнение None == None оценивается как true. Запрос затем рассматривается как доверенный внутренний принципал (internal principal) и получает области видимости: ["all"]. В результате неаутентифицированный удаленный злоумышленник может получить доступ к конечным точкам управления API-ключами администратора для создания API-ключей от имени любого пользователя, перечисления ключей, отзыва ключей и генерации мастер-ключа для постоянного привилегированного доступа, а также ко всем конечным точкам данных.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.