p PatchFirst

CVE-2026-44504

CVE-2026-44504 · Aegra: Cross-user run injection in /threads/{thread_id}/runs (IDOR)

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Aegra is a drop-in replacement for LangSmith Deployments. Prior to 0.9.7, with multiple authenticated users on a shared instance are vulnerable to a cross-tenant IDOR. Any authenticated attacker, given another user's thread_id, can execute graph runs against the user's thread, read the user's full checkpoint state, and inject arbitrary messages into the user's conversation history. This vulnerability is fixed in 0.9.7.

CVSS 8.6 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • aegra

    Versiones
    • < 0.9.7: Afectada

    Sin corrección publicada

  • aegra-api PyPI

    Versiones
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 0.9.0, < 0.9.7

    Actualiza a 0.9.7

Fuentes originales

Comprueba tu servidor →