CVE-2026-77936criticalCWE-1188

CVE-2026-77936: falha crítica em letta-ai letta

Letta through 0.16.8 Insecure Default Configuration Unauthenticated API and PostgreSQL Access

Publicada em

Seguir esta CVE+ Monitorar letta

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

48Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 9.3epss 0.6%
Letta through 0.16.8 ships a compose.yaml that does not enable LETTA_SERVER_SECURE, so the password middleware is never added and all API routes are unauthenticated, and it exposes a superuser PostgreSQL port with default credentials. Remote attackers can execute arbitrary Python via POST /v1/tools/run, manage /v1/admin users, or run OS commands via COPY PROGRAM.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
letta-ai · letta
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — letta-ai letta

No mesmo produto, das mais perigosas para as menos.

CVE-2026-4965MEDIUMletta-ai letta Incomplete Fix CVE-2025-6101 ast_parsers.py resolve_type eval injectionEPSS 0.6%CVE-2026-77937HIGHLetta through 0.16.8 Cross-Tenant Impersonation via user_id HeaderEPSS 0.5%CVE-2026-77938HIGHLetta through 0.16.8 Credential Exposure via Tool Sandbox Environment InheritanceEPSS 0.4%CVE-2026-4964MEDIUMletta-ai letta File URL message_helper.py _convert_message_create_to_message server-side request forgeryEPSS 0.3%CVE-2025-6101MEDIUMletta-ai letta interface.py function_message eval injectionEPSS 0.3%