🔴 《严重安全漏洞：CVE-2026-59705》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-07

漏洞简介

CVE-2026-59705 是一个存在于 mem0 项目 openmemory/api 组件中的未认证访问漏洞（CWE-306：缺少关键功能的认证）。该漏洞源于部分 API 路由在注册时未正确配置认证中间件（authentication middleware），导致未经过身份验证的攻击者能够直接访问这些接口，从而执行以下恶意操作：

  • 读取任意用户记忆：攻击者可以构造包含任意 user_id 参数的请求，或直接访问记忆检索端点（memory retrieval endpoints），从而获取其他用户的私有记忆内容。
  • 写入/删除任意用户记忆：攻击者可以未经授权地创建、修改或删除任意用户的记忆数据。
  • 全局拒绝服务（DoS）：攻击者可以调用特定的暂停端点（pause endpoints），并设置 global_pause=true 参数，导致所有用户的记忆服务被暂停，造成全局性的拒绝服务。

该漏洞的核心问题在于 API 路由缺少必要的身份验证检查，使得任何网络可达的攻击者都可以直接与这些端点交互，而无需提供任何有效的用户凭证。

影响范围

  • 受影响组件：mem0 项目中的 openmemory/api 组件。
  • 受影响版本：根据官方提交记录（commit a3154d59e52386d4e1189c1f5f44819868f76514）和 issue 报告（#6080），所有未应用该修复的版本均受影响。具体版本号需参考 mem0 的发布历史，但建议所有使用 openmemory/api 组件的部署立即检查并更新。
  • 修复版本：官方已在上述 commit 中修复该问题，用户应升级至包含该修复的版本。

风险分析

  • CVSS 评分：根据 CVSS:4.0 向量 AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N，该漏洞的基础评分极高（接近满分 10.0）。攻击者无需任何权限、无需用户交互、无需特殊攻击条件，即可通过网络远程利用，且对机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）均造成高影响。
  • 攻击后果：
    • 数据泄露：攻击者可批量窃取所有用户的私有记忆数据，可能导致敏感信息（如个人隐私、业务机密）大规模泄露。
    • 数据篡改：攻击者可任意修改或删除用户记忆，破坏数据完整性，可能导致应用逻辑错误或用户数据丢失。
    • 服务中断：通过全局暂停功能，攻击者可导致整个 mem0 服务不可用，影响所有合法用户。
  • 利用难度：极低。攻击者只需向目标 API 端点发送 HTTP 请求即可利用，无需绕过任何认证机制。
  • 修复建议：立即在所有 API 路由上强制实施身份验证中间件，确保所有敏感操作（读、写、删除、暂停）均需有效用户凭证。同时，建议对 global_pause 等管理功能实施额外的权限控制，仅允许管理员或特定角色调用。

🔍 技术细节

字段 值
CVE ID CVE-2026-59705
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-306
发布时间 2026-07-07
最后更新 2026-07-07
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接