p PatchFirst

CVE-2026-91988

CVE-2026-91988 · atomic-agents-stack before 1.1.0 Remote Code Execution via HTTP MCP

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

atomic-agents-stack before 1.1.0 accepts cleartext HTTP schemes in the HTTP MCP server-registry backend factory, allowing network man-in-the-middle attackers to rewrite catalog responses. Attackers can inject arbitrary command and argument values that are spawned as local subprocesses by MCPClientPool to achieve code execution on the agent host.

CVSS 9.2 · Критический · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • atomic-agents-stack

    Версии
    • ≥ 0, < 1.1.0: Затронуто (semver)
    • 1.1.0: Не затронуто (semver)

    Обновитесь до 1.1.0

  • atomic-agents-stack PyPI

    Версии
    • 1.0.0
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.1.0

    Обновитесь до 1.1.0

Первоисточники

Проверьте свой сервер →