CVE-2026-82273

ŚrednieCVSS 6.5

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Mastra do wersji 1.63.0 zawiera podatność na obejście uwierzytelniania w walidacji własności wątków w API pamięci, gdy wywołanie zwrotne mapUserToResourceId jest pominięte w konfiguracji. Uwierzytelnieni atakujący mogą wyliczyć wszystkie wątki przez GET /api/memory/threads i odczytać historię rozmów oraz metadane innych właścicieli zasobów.

Ocena ryzyka

Atakujący może uzyskać dostęp do prywatnych rozmów i metadanych innych użytkowników, co może prowadzić do naruszenia prywatności i wycieku danych.

Rekomendacja

Zaktualizuj Mastra do wersji, która naprawia walidację własności. Upewnij się, że wywołanie zwrotne mapUserToResourceId jest zawsze skonfigurowane.

Inne podatności w Mastra

CVE-2025-61685Średnie
Mastra, framework TypeScript do budowy agentów AI, w wersjach 0.13.8 do 0.13.20-alpha.0 jest podatny na directory traversal prowadzący do ujawnienia listingu katalogów. Kontrola bezpieczeństwa ścieżek jest omijana przez późniejszą logikę podpowiedzi katalogów, co pozwala atakującemu wylistować zawartość dowolnych katalogów w systemie plików użytkownika. Poprawka w wersji 0.13.20.

Oryginalny opis (angielski, źródło NVD)

Mastra through 1.63.0 contains an authentication bypass vulnerability in the memory API thread ownership validation when mapUserToResourceId callback is omitted from configuration. Authenticated attackers can enumerate all threads via GET /api/memory/threads and read conversation history and metadata of other resource owners.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS