CVE-2026-50027

Nome do Software Vulnerável e Versões Afetadas mcp-memory-service (versões afetadas não especificadas)

Description Todas as rotas HTTP sob o endpoint /api/documents/* são servidas sem autenticação, mesmo quando o servidor está configurado com uma chave de API (MCP API KEY) ou OAuth. Isso permite que um invasor remoto não autenticado faça o upload de conteúdo arbitrário no armazenamento de memória, recupere o conteúdo de documentos armazenados e exclua permanentemente memórias pertencentes a usuários autenticados. Isso ocorre porque o roteador documents.py é instanciado sem dependências de autenticação, criando um limite de segurança inconsistente em comparação com o endpoint /api/memories, que impõe a autenticação corretamente.

Os detalhes técnicos incluem os seguintes endpoints afetados:

Recommendations Adicione Depends(require write access) ou Depends(require read access) a cada rota afetada em documents.py para garantir que a autenticação adequada seja aplicada.