CVE-2026-82273
Vulnérabilité élevée dans mastra (mastra-ai)
CVSS 7.1 · Élevée
EPSS 0.4%
mastra-ai•mastra•Versions : <=1.63.0, 0
Description
Mastra through 1.63.0 contains an authentication bypass vulnerability in the memory API thread ownership validation when mapUserToResourceId callback is omitted from configuration. Authenticated attackers can enumerate all threads via GET /api/memory/threads and read conversation history and metadata of other resource owners.
Gravité et risque d'exploitation
CVE-2026-82273 obtient un score CVSS de 7.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.38 %, ce qui la place devant 31.0 % des CVE référencées.
Que faire ?
- Vérifiez si mastra (versions <=1.63.0, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/mastra-ai/mastra/issues/18911
- https://github.com/mastra-ai/mastra
- https://github.com/mastra-ai/mastra/blob/b7e66f0c478a227985e0062794ef058c3714fabf/packages/server/src/server/handlers/utils.ts
- https://www.vulncheck.com/advisories/mastra-memory-api-thread-ownership-check-is-a-no-op-when-mapusertoresourceid-is-unset