Две уязвимости в сигурността на Paperclip биха могли да позволят на атакуващи да изпълняват команди на мрежов сървър или на компютъра на разработчик. Paperclip е контролен панел с отворен код за екипи от агенти с изкуствен интелект (ИИ), като и двата вектора на атака разчитат на импортирането на злонамерен агент и неговото стартиране.

Трета уязвимост би могла да разкрие чувствителни данни и подробности за контролния панел чрез маршрути на приложния програмен интерфейс (API), които не налагат очакваните проверки за достъп.

По-сериозният вектор от страна на сървъра, проследяван като CVE-2026-41679 (CVSS оценка: 10.0), не изисква съществуващ акаунт или взаимодействие с жертвата при достъпни по мрежата среди, използващи удостоверен режим с конфигурация за регистрация по подразбиране.

Вторият вектор, проследяван като GHSA-x8hx-rhr2-9rf7 (CVSS оценка: 9.6), изисква потребителят да отвори контролирана от атакуващия страница, докато Paperclip работи в своя режим по подразбиране local_trusted.

Изходният код, маркиран като Paperclip v2026.416.0, съдържа корекция за сигурност за оторизацията при импортиране и защита чрез валидиране на името на хоста, въпреки че бюлетинът за DNS-rebinding не посочва коригирана версия. Оттогава Rapid7 пусна публичен модул Metasploit за CVE-2026-41679, а класификацията на CISA (SSVC) определя експлоатацията като концептуална (proof-of-concept).

Нито един авторитетен източник, прегледан от The Hacker News, не съобщава за експлоатация в реална среда към 5 август 2026 г. Администраторите трябва да обновят до v2026.416.0 или по-нова версия и да преразгледат как са конфигурирани регистрацията и мрежовата достъпност.

Анализът на Oasis Security свързва констатациите чрез едно свойство на продукта: конфигурацията на агента може да се превърне в изпълнимо поведение. Вграденият адаптер за процеси на Paperclip умишлено стартира конфигурирана команда като дъщерен процес на сървъра. Тази функция е легитимна, но уязвимостите променят това кой може да я достигне и на чия конфигурация сървърът ще се довери. „Конфигурацията на агента трябва да се третира като изпълним входен ресурс“, заявяват от Oasis.

Неоторизирани потребители или заявки, произхождащи от браузъра, биха могли да въведат и активират конфигурация, която достига до стартера. Веригата от страна на сървъра се прилага за достъпни по мрежата среди с уязвима конфигурация на регистрация. Веригата през localhost се прилага, когато потребител отвори контролирана от атакуващ страница, докато Paperclip работи в конфигурацията си по подразбиране local_trusted. И двата случая завършват с достигане на контролирана от атакуващия конфигурация на агент до хост адаптера за изпълнение.

Одобрен ключ от неговия собственик

Атаката срещу достъпен през интернет инстанс започва с потока за регистрация по подразбиране на Paperclip. Атакуващ може да се регистрира без покана или потвърден имейл адрес, да се впише и да влезе в процеса на оторизация на интерфейса за команден ред (CLI). Същият новорегистриран потребител може да създаде чакащо CLI предизвикателство и да го одобри, активирайки дълготрайни идентификационни данни за API без намесата на администратор.

Тези идентификационни данни не би трябвало да са достатъчни за създаване на компания от най-високо ниво. Paperclip изисква права на администратор на инстанса при директно създаване на компания, но еквивалентният маршрут за импортиране на нова компания приема достъп на ниво панел. По този начин атакуващ може да предостави пакет .paperclip.yaml, дефиниращ нова компания, агент и командата, която този агент да изпълни. Импортирането също така прави атакуващия член на новата компания, така че проверката преминава успешно, когато атакуващият стартира агента. След това Paperclip стартира командата с привилегиите на операционната система на своя сървърен процес.

Въздействието зависи от акаунта на услугата и хоста. Според Oasis то може да включва данни на приложението, хранилища с изходен код, локално съхранявани идентификационни данни, тайни и вътрешни услуги, достъпни от машината. Paperclip отстранява уязвимостта CVE-2026-41679 във v2026.416.0 чрез изискване на администраторски достъп за импортиране в нови компании. Отворената регистрация остава налична, но новорегистриран потребител вече не може да използва маршрута за импортиране като администратор.

Rapid7 публикува Metasploit модул през юни 2026 г., който автоматизира атаката CVE-2026-41679. Уязвимостта не беше вписана в каталога Known Exploited Vulnerabilities (KEV) на CISA към 5 август 2026 г., но липсата ѝ там не изключва възможността за експлоатация.

Браузърът преминава към Localhost

Втората критична пътека е насочена към друг модел на внедряване. В конфигурацията си по подразбиране local_trusted, Paperclip се свързва с loopback интерфейса и исторически третира всяка заявка до услугата като имплицитен администратор на инстанса. Това премахва триенето при удостоверяване за локални разработчици...