Към съдържанието
Търсене

CVE-2026-50027: doobidoo mcp-memory-service, заобикаляне на вход и

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

mcp-memory-service is a semantic memory layer for AI applications. Prior to 10.67.1, all HTTP routes under /api/documents/* in mcp-memory-service are served without any authentication dependency, even when the server is configured with an API key (MCP_API_KEY) or OAuth. An unauthenticated remote attacker can upload arbitrary content into the memory store (write), retrieve stored document content (read), and permanently delete memories belonging to authenticated users (delete) — all without supplying any credentials. The /api/memories counterpart correctly enforces authentication, making this an inconsistent and exploitable authentication boundary. This vulnerability is fixed in 10.67.1.

Засегнати продукти

  • doobidoo mcp-memory-service: < 10.67.1

Вид слабост

История

  • 14 август 2026 Публикувано

Други уязвимости в doobidoo mcp-memory-service

Първоизточници

CVE-2026-50027: doobidoo mcp-memory-service, заобикаляне на вход и | freedomonline.bg