CVE-2026-54519 in AI Agent Automation
Tóm tắt
Bởi VulDB • 18/09/2026
AI Agent Automation là một nền tảng tự động hóa quy trình làm việc của các tác nhân AI (AI agents) theo mô-đun, bao gồm các bộ lập lịch (schedulers), công cụ và khả năng quan sát hệ thống (observability). Trước phiên bản 0.9.1, backend/src/controllers/memory.controller.js xác thực các yêu cầu nhưng các hàm listMemories, deleteMemory và clearAgentMemory sử dụng agentId hoặc memory _id do người gọi cung cấp mà không kiểm tra qua Agent liên quan để đảm bảo rằng bản ghi thuộc về req.user. Một kẻ tấn công đã được xác thực có thể đọc nội dung AgentMemory của nạn nhân (bao gồm lịch sử cuộc trò chuyện, ngữ cảnh tác nhân, dữ liệu nhiệm vụ, embeddings và metadata), xóa một bộ nhớ cụ thể của nạn nhân hoặc xóa toàn bộ bộ memory thuộc về một agent của nạn nhân nếu biết hoặc chiếm đoạt các định danh của người dùng khác. Điều này phá vỡ tính cô lập giữa các tenant (tenant isolation) và gây ra việc tiết lộ thông tin trái phép cũng như mất dữ liệu. Vấn đề này đã được sửa chữa trong phiên bản 0.9.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.