7.1
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Mastra through 1.63.0 contains an authentication bypass vulnerability in the memory API thread ownership validation when mapUserToResourceId callback is omitted from configuration. Authenticated attackers can enumerate all threads via GET /api/memory/threads and read conversation history and metadata of other resource owners.
Засегнати продукти
- mastra-ai mastra: до 1.63.0
Вид слабост
История
- 28 август 2026 Публикувано
Други уязвимости в mastra-ai mastra
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-82273
- https://nvd.nist.gov/vuln/detail/CVE-2026-82273
- https://github.com/mastra-ai/mastra/issues/18911
- https://github.com/mastra-ai/mastra
- https://github.com/mastra-ai/mastra/blob/b7e66f0c478a227985e0062794ef058c3714fabf/packages/server/src/server/handlers/utils.ts
- https://www.vulncheck.com/advisories/mastra-memory-api-thread-ownership-check-is-a-no-op-when-mapusertoresourceid-is-unset