p PatchFirst

CVE-2026-44504

CVE-2026-44504 · Aegra: Cross-user run injection in /threads/{thread_id}/runs (IDOR)

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Aegra is a drop-in replacement for LangSmith Deployments. Prior to 0.9.7, with multiple authenticated users on a shared instance are vulnerable to a cross-tenant IDOR. Any authenticated attacker, given another user's thread_id, can execute graph runs against the user's thread, read the user's full checkpoint state, and inject arbitrary messages into the user's conversation history. This vulnerability is fixed in 0.9.7.

CVSS 8.6 · Высокий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • aegra

    Версии
    • < 0.9.7: Затронуто

    Нет опубликованного исправления

  • aegra-api PyPI

    Версии
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 0.9.0, < 0.9.7

    Обновитесь до 0.9.7

Первоисточники

Проверьте свой сервер →