Résumé
généré automatiquement à partir des données NVDLetta jusqu'à la version 0.16.8 fournit un fichier compose.yaml qui n'active pas LETTA_SERVER_SECURE : le middleware de mot de passe n'est jamais ajouté et toutes les routes de l'API restent sans authentification. Il expose en outre un port PostgreSQL superutilisateur avec des identifiants par défaut (CWE-1188). Un attaquant distant peut exécuter du code Python arbitraire via POST /v1/tools/run, gérer les utilisateurs via /v1/admin ou lancer des commandes système avec COPY PROGRAM. Score CVSS v3.1 : 9.8 (critique).
Description NVD (anglais)
Letta through 0.16.8 ships a compose.yaml that does not enable LETTA_SERVER_SECURE, so the password middleware is never added and all API routes are unauthenticated, and it exposes a superuser PostgreSQL port with default credentials. Remote attackers can execute arbitrary Python via POST /v1/tools/run, manage /v1/admin users, or run OS commands via COPY PROGRAM.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 20 oct. 2026
- Mis à jour
- 20 oct. 2026
- Statut
- Received
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (4)
CVEs similaires
Autres vulnérabilités de type CWE-1188
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.