CVE-2026-41208 in paperclip
要約
〜によって VulDB • 2026年05月09日
Paperclipは、AIエージェントのチームをオーケストレーションしてビジネスを実行するためのNode.jsサーバーおよびReact UIです。2026.416.0より前のバージョンの @paperclipai/server には、エージェントAPIキーを持つ攻撃者がPaperclipサーバーホスト上で任意のOSコマンドを実行できる権限昇格の脆弱性が存在します。エージェント資格情報を持つ攻撃者は、エージェントランタイムからPaperclipサーバーホストへの権限昇格が可能です。この脆弱性は、エージェントが /agents/:id APIエンドポイントを介して自身の adapterConfig を更新できることに起因します。設定フィールド adapterConfig.workspaceStrategy.provisionCommand は、後でサーバーランタイムによって実行されます。その結果、エージェント資格情報を制御する攻撃者は、ワークスペースのプロビジョニング時にPaperclipサーバーによって実行される任意のシェルコマンドを注入できます。これにより、エージェントランタイムの設定とサーバーホストの実行の間の意図された信頼境界が破綻し、侵害されたまたは悪意のあるエージェントが権限を昇格させてホストシステム上でコマンドを実行できるようになります。この脆弱性により、サーバーホスト上でリモートコード実行（RCE）が可能になります。 @paperclipai/server バージョン 2026.416.0 でこの問題は修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.