事件经过
NVD 在 2026-08-14 发布了 CVE-2026-50027（CVSS 9.8，严重）。mcp-memory-service 是 AI 应用的语义记忆层 MCP 服务器,在版本 10.67.1 之前,所有 /api/documents/* 路由都未强制执行身份验证,即使配置了 API 密钥或 OAuth。
影响分析
MCP 内存服务器为 AI 代理跨会话保持持久上下文和潜在敏感数据;完全的身份验证绕过允许任何远程攻击者读取或破坏代理的长期内存存储,损害建立在该记忆基础上的 AI 代理决策的可信度。
攻击途径
即使配置了 MCP_API_KEY 或 OAuth,所有 /api/documents/* 下的 HTTP 路由也不经任何身份验证依赖即可提供,允许未认证的远程攻击者读取/操纵存储的语义记忆文档
受影响系统
mcp-memory-service < 10.67.1
缓解措施
升级到 mcp-memory-service 10.67.1 或更高版本