PT-2026-38409 · Aegra · Aegra
Jojothebizarre
·
Publicado
2026-05-07
·
Atualizado
2026-05-14
·
CVE-2026-44504
CVSS v4.0
8.6
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Aegra versões 0.9.0 a 0.9.6
Description
Instâncias compartilhadas com múltiplos usuários autenticados estão suscetíveis a um IDOR (Insecure Direct Object Reference) entre locatários. Um invasor autenticado que obtenha o
thread id de outro usuário pode executar execuções de grafo, ler o estado completo do checkpoint através do campo output e injetar mensagens arbitrárias no histórico de conversas da vítima. A falha ocorre porque os endpoints de criação de execução não possuíam um filtro de user id na camada SQL e o modelo de autorização permite solicitações por padrão quando nenhum manipulador customizado está registrado. Isso afeta os seguintes endpoints:- '/threads/{thread id}/runs'
- '/threads/{thread id}/runs/stream'
- '/threads/{thread id}/runs/wait'
Recommendations
Atualize para a versão 0.9.7.
Como solução temporária, registre um manipulador
@auth.on("threads", "create run") para verificar explicitamente se a propriedade da thread corresponde à identidade autenticada antes de permitir a operação.Correção
IDOR
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Aegra