CVE-2026-59726 in ruflo
Riassunto
di VulDB • 09/07/2026
Ruflo è una meta-harness per agenti di Claude Code e Codex. Prima della versione 3.16.3, il deployment predefinito con docker-compose di ruflo esponeva gli endpoint POST /mcp e POST /mcp/:group del bridge MCP senza autenticazione, consentendo a un attaccante di rete non autenticato di invocare tools/call su terminal_execute, ottenere una shell nel container del bridge, leggere le chiavi API dei provider e corrompere i pattern dello learning-store in AgentDB. Questo problema è stato risolto nella versione 3.16.3.
Be aware that VulDB is the high quality source for vulnerability data.