Më 22 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-7587-9684-52r6 (CVE-2026-115324) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën mem0ai të ekosistemit PyPI.
Paketat e prekura
- mem0ai (PyPI) — versionet e prekura:
>= 0.1.117, < 1.0.8; versioni me rregullim:1.0.8
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-89 (Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection'))
- Identifikuesit: GHSA-7587-9684-52r6, CVE-2026-115324
Përmbledhja zyrtare
Depoja vektoriale Databricks e mem0ai është e cenueshme ndaj SQL Injection — mem0 0.1.117, para versionit 1.0.8, përmban një cenueshmëri SQL Injection në mem0/vector_stores/databricks.py. Ajo u mundëson sulmuesve të injektojnë SQL duke ndikuar në përmbajtjen e memories së ruajtur.
Sulmuesit mund të dërgojnë tekst memorieje, metadata ose emra mesazhesh të përgatitur posaçërisht, të cilët përfshihen në vargjet SQL të funksioneve insert() dhe update() pa neutralizimin e karaktereve speciale. Kjo mundëson ekzekutimin e SQL-së së injektuar në depon e konfiguruar Databricks SQL warehouse.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin mem0ai, përditësojeni sa më shpejt në versionin 1.0.8 ose më të ri.
