CVE-2026-77938highCWE-526

CVE-2026-77938: falha de alta gravidade em letta-ai letta

Letta through 0.16.8 Credential Exposure via Tool Sandbox Environment Inheritance

Publicada em

Seguir esta CVE+ Monitorar letta

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

41Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 7.1epss 0.4%
Letta through 0.16.8 contains an information disclosure vulnerability that allows users running tools to read server secrets because LocalSandbox subprocesses inherit the full server environment. Attackers can run code via POST /v1/tools/run or custom tools to read LETTA_PG_URI, POSTGRES_PASSWORD, and provider API keys, then access cross-tenant database data.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
letta-ai · letta
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — letta-ai letta

No mesmo produto, das mais perigosas para as menos.

CVE-2026-4965MEDIUMletta-ai letta Incomplete Fix CVE-2025-6101 ast_parsers.py resolve_type eval injectionEPSS 0.6%CVE-2026-77936CRITICALLetta through 0.16.8 Insecure Default Configuration Unauthenticated API and PostgreSQL AccessEPSS 0.6%CVE-2026-77937HIGHLetta through 0.16.8 Cross-Tenant Impersonation via user_id HeaderEPSS 0.5%CVE-2026-4964MEDIUMletta-ai letta File URL message_helper.py _convert_message_create_to_message server-side request forgeryEPSS 0.3%CVE-2025-6101MEDIUMletta-ai letta interface.py function_message eval injectionEPSS 0.3%