【漏洞预警】Letta 默认 Compose 不启用鉴权，开启后仍可用 user_id 头冒充（CVE-2026-77936 / 77937）

Letta 0.16.8 及更早的官方 Compose 未设置 LETTA_SERVER_SECURE，API 不加载密码中间件，并暴露默认口令的 PostgreSQL（CVE-2026-77936，CVSS 9.8）。即使打开该开关，调用方仍可用 user_id 请求头冒充其他用户（CVE-2026-77937，CVSS 8.1）。GitHub Release 仍是 0.16.8。Hub 上已有 0.34.18，但没有被写成这两条的修复版。