p PatchFirst

CVE-2026-44504

CVE-2026-44504 · Aegra: Cross-user run injection in /threads/{thread_id}/runs (IDOR)

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Aegra is a drop-in replacement for LangSmith Deployments. Prior to 0.9.7, with multiple authenticated users on a shared instance are vulnerable to a cross-tenant IDOR. Any authenticated attacker, given another user's thread_id, can execute graph runs against the user's thread, read the user's full checkpoint state, and inject arbitrary messages into the user's conversation history. This vulnerability is fixed in 0.9.7.

CVSS 8.6 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • aegra

    Softwareversionen
    • < 0.9.7: Betroffen

    Keine Korrektur veröffentlicht

  • aegra-api PyPI

    Softwareversionen
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 0.9.0, < 0.9.7

    Auf 0.9.7 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →