CVE-2026-77937: falha de alta gravidade em letta-ai letta
Letta through 0.16.8 Cross-Tenant Impersonation via user_id Header
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 8.6epss 0.5%
Letta through 0.16.8 contains an authentication bypass vulnerability that allows API callers to impersonate other users by supplying a self-asserted user_id HTTP header. Attackers can set user_id to another tenant's ID, even with LETTA_SERVER_SECURE enabled, to read and modify that user's agents, memory and configuration.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Produtos afetados
letta-ai · lettaPoCs públicas encontradas — 1
cve_referencewww.lasso.security/vulnerability-database/cve-2026-77937não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — letta-ai letta
No mesmo produto, das mais perigosas para as menos.
CVE-2026-4965MEDIUMletta-ai letta Incomplete Fix CVE-2025-6101 ast_parsers.py resolve_type eval injectionEPSS 0.6%CVE-2026-77936CRITICALLetta through 0.16.8 Insecure Default Configuration Unauthenticated API and PostgreSQL AccessEPSS 0.6%CVE-2026-77938HIGHLetta through 0.16.8 Credential Exposure via Tool Sandbox Environment InheritanceEPSS 0.4%CVE-2026-4964MEDIUMletta-ai letta File URL message_helper.py _convert_message_create_to_message server-side request forgeryEPSS 0.3%CVE-2025-6101MEDIUMletta-ai letta interface.py function_message eval injectionEPSS 0.3%