Dodge1218

Nocturne Memory is a lightweight, rollbackable, and visual Long-Term Memory Server for MCP Agents. Prior to 2.4.1, when API TOKEN is unset or empty, the BearerTokenAuthMiddleware bypasses authentication for all HTTP requests. Combined with the default 0.0.0.0 host binding and CORS allow origins=["*"], operators following the Docker setup without explicitly setting API TOKEN expose the full Knowledge-Graph read/write API to any LAN-reachable client. An attacker on the same network can read, write, or delete all memory entries — including system://boot and core://* URIs that auto-load into downstream agent sessions, enabling persistent prompt-injection. This vulnerability is fixed in 2.4.1.

**Nome do Software Vulnerável e Versões Afetadas** Gryph versões anteriores a 0.7.0 **Description** O Gryph implementa níveis de log para controlar o conteúdo armazenado em um banco de dados sqlite local. O nível de log padrão está definido como `standard`, embora a documentação indique incorretamente que seja `minimal`. Nos níveis de log `standard` e `full`, conteúdos sensíveis de `file-write` são mantidos no `payload` armazenado através das variáveis `ContentPreview`, `OldString` ou `NewString`. Isso resulta no registro de conteúdo de arquivos potencialmente sensíveis, ignorando o filtro de arquivos sensíveis e os contratos de nível de log. Este problema pode levar à exposição de dados sensíveis caso o banco de dados sqlite local seja roubado ou exportado para um sistema remoto. **Recommendations** Atualize para a versão 0.7.0.