PT-2026-56268 · Mem0 · Mem0

George Chen · Publicado 2026-07-07 · Atualizado 2026-07-07 · CVE-2026-59706

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.3

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas mem0 (versões afetadas não especificadas)

Description Endpoints de API de configuração não autenticados expõem chaves de API de LLM em texto simples e permitem a falsificação de solicitação do lado do servidor (SSRF), uma técnica na qual um invasor induz o servidor a fazer solicitações para um local não pretendido. Atacantes podem recuperar segredos armazenados, como chaves de API da OpenAI, através do endpoint 'GET /api/v1/config/'. Além disso, podem desencadear ataques de SSRF manipulando o parâmetro ollama base url para apontar para endereços internos, como o Serviço de Metadados de Instância (IMDS) da nuvem, por meio do endpoint 'PUT /api/v1/config/mem0/llm'.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-59706

Produtos afetados

Mem0

Referências · 6

• https://github.com/mem0ai/mem0/issues/6081 · Nota
• https://github.com/mem0ai/mem0 · Nota
• https://github.com/mem0ai/mem0/commit/a3154d59e52386d4e1189c1f5f44819868f76514 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-59706 · Nota de Segurança
• https://vulncheck.com/advisories/mem0-server-side-request-forgery-and-plaintext-api-key-exposure-via-unauthenticated-config-endpoints · Nota
• https://twitter.com/OrizonCyber/status/2074621996806144162 · Publicação no Twitter