Veille sécuritéBackend & données
P4Moyenne
Mem0 construit une clé de portée de session à partir d’identifiants contrôlés par l’appelant sans échapper les séparateurs utilisés. Des périmètres de tenants distincts peuvent ainsi produire la même clé, ce qui expose ou perturbe l’historique de conversations; les correctifs sont indiqués pour les SDK Python 2.0.18 et TypeScript 3.1.6.
PythonTypeScript
IdentifiantCVE-2026-116575
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifPython SDK 2.0.18; TypeScript SDK 3.1.6
Source : NVD — CVE-2026-116575
Analyse technique
Les valeurs user_id, agent_id et run_id peuvent intégrer des séparateurs et provoquer une collision de session_scope.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-26 à 21:18:13 UTC, soit 23:18:13 +02:00, dans la période demandée. La mise à jour NVD du 2026-10-27 est postérieure à la période.
ImpactDivulgation, éviction ou mélange de l’historique de conversations entre tenants.
Versions affectéesPython SDK antérieur à 2.0.18; TypeScript SDK antérieur à 3.1.6
Version corrigéePython SDK 2.0.18; TypeScript SDK 3.1.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-10-26T23:18:13+02:00
Mise à jour2026-10-27T18:04:22.707+02:00
Action recommandée
Mettre à niveau les SDK concernés vers les versions corrigées.
Sources
Priorisation DFS : P4 · 1 source(s).