Уязвимость ресурсного истощения в MemTensor memmy-agent (CVE-2026-112157)
В MemTensor memmy-agent обнаружена уязвимость CVE-2026-112157, связанная с истощением ресурсов в функции requireAdminWrite компонента Memory Service. Проблема затрагивает версии до 1.0.9/1.1.1/1.2.2 включительно и имеет низкий уровень критичности (CVSS 2.3), однако эксплойт уже опубликован.
Подробности
Уязвимость затрагивает MemTensor memmy-agent в версиях до 1.0.9, 1.1.1 и 1.2.2 включительно. Проблемный элемент — функция requireAdminWrite в файле Memory/src/server/http.ts компонента Memory Service. Манипуляции с этой функцией приводят к ресурсному истощению (resource consumption). Согласно описанию, эксплуатация возможна удалённо, но требует высокой сложности и считается затруднительной. Уязвимости присвоен низкий балл CVSS 2.3 (LOW). Эксплойт стал публично доступным и может быть использован для атак. Отдельно отмечается, что эксплойт частично переоценён. Эндпоинт «POST /api/v1/admin/shutdown» принимает неаутентифицированные запросы при отсутствии настроенного токена, однако изначально он предназначен для локального использования и позже получил исправления, связанные с cross-origin запросами. Таким образом, факт доступности эндпоинта без аутентификации подтверждён, а DoS-атака, инициируемая через браузер, остаётся вероятной, но зависит от конкретного поведения браузера.Что делать
Рекомендуется обновить MemTensor memmy-agent до актуальной версии, в которой устранены описанные проблемы. Если обновление невозможно, следует: - настроить токен аутентификации для административных эндпоинтов, чтобы исключить неаутентифицированный доступ; - ограничить сетевой доступ к Memory Service, не допуская обращения к административным путям из недоверенных сегментов сети; - обеспечить изоляцию сервиса от внешних источников запросов и контролировать cross-origin взаимодействия; - отслеживать обращения к «POST /api/v1/admin/shutdown» и другим административным маршрутам в журналах. Итог: уязвимость CVE-2026-112157 имеет низкую критичность, но публичное наличие эксплойта и подтверждённая доступность административного эндпоинта без аутентификации требуют внимания. Своевременное обновление и настройка аутентификации снижают риск эксплуатации.Источник: CVE Project (cvelistV5)