Letta 0.16.8 sürümünde API kimlik doğrulaması eksikliği kritik güvenlik açığı oluşturuyor
Yapay zeka üretimi20.10.2026
- CVE
- CVE-2026-77936
- Ciddiyet
- Kritik (CVSS 9.8)
- Firma / ürün
- - / -
Özet
Letta 0.16.8 sürümünde, LETTA_SERVER_SECURE ayarı etkinleştirilmediği için tüm API yolları kimlik doğrulaması olmadan erişilebilir ve PostgreSQL süper kullanıcı portu varsayılan kimlik bilgileriyle açıktır.
Ayrıntılar
NVD kaydına göre, Letta 0.16.8 sürümü, compose.yaml dosyasında LETTA_SERVER_SECURE seçeneği devre dışı bırakılmıştır. Bu durum, parola ara katmanının eklenmemesine ve tüm API yollarının kimlik doğrulaması olmadan kullanılabilmesine yol açar. Ayrıca, PostgreSQL süper kullanıcı portu varsayılan kimlik bilgileriyle dışarıya açılmıştır. Uzaktan saldırganlar, POST /v1/tools/run isteğiyle rastgele Python kodu çalıştırabilir, /v1/admin üzerinden kullanıcı yönetimi yapabilir veya COPY PROGRAM komutu ile işletim sistemi komutları çalıştırabilir. Açığın ciddiyeti kritik (CVSS 9.8) olarak değerlendirilmiştir.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.