何が起きたか
NVD は2026年8月6日、CVE-2026-18990 (CVSS 7.3, High) を公開しました。LettaBot の API ステータスエンドポイント内の認証欠落の脆弱性、公開悪用コードの利用可能、ベンダーの開示に対する応答がないことを説明します。
なぜ重要か
エージェントフレームワークの認証されていないステータスエンドポイントは、後続の攻撃に有用な内部設定および運用詳細をリークでき、ベンダーの無応答はユーザーに公式修正パスを残しません。
攻撃経路
src/api/server.ts の API Status Route は任意の認証チェックがなく、リモート認証されていない攻撃者がエージェント/サーバーステータス情報を照会することを許可します。公開悪用が利用可能です。
影響を受けるシステム
letta-ai LettaBot 0.2.0
緩和策
開示時点でベンダー応答なし報告。パッチ待機中に認証中継プロキシの背後にデプロイしてください。