CVE-2026-82273highCWE-862

CVE-2026-82273: falha de alta gravidade em mastra-ai mastra

Mastra Memory API Thread Ownership Check Is a No-op When mapUserToResourceId Is Unset

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar mastra

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.1epss 0.5%
Mastra through 1.63.0 contains an authentication bypass vulnerability in the memory API thread ownership validation when mapUserToResourceId callback is omitted from configuration. Authenticated attackers can enumerate all threads via GET /api/memory/threads and read conversation history and metadata of other resource owners.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
mastra-ai · mastra
CVEs relacionadas — mastra-ai mastra

No mesmo produto, das mais perigosas para as menos.

CVE-2025-61685MEDIUMMastra Docs MCP Server `@mastra/mcp-docs-server` Leads to Information ExposureEPSS 0.6%