CVE-2026-59726

Kritisch10.0Veröffentlicht am 9. Juli 2026

Ruflo ist ein Agent-Meta-Harness für Claude Code und Codex. Vor 3.16.3 legte die standardmäßige docker-compose-Bereitstellung von ruflo die MCP bridge-Endpunkte POST /mcp und POST /mcp/:group ohne Authentifizierung offen, wodurch ein unauthentifizierter Netzwerk-Angreifer tools/call an terminal_execute aufrufen, eine Shell im bridge-Container erlangen, Provider-API-Keys lesen und AgentDB learning-store-Patterns vergiften konnte. Dieses Problem ist in Version 3.16.3 behoben.

CVSS-Score10.0 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Schwachstellentyp (CWE)CWE-78, CWE-306, CWE-942

RufRoot: die kritische Schwachstelle (CVSS 10.0) in Ruflo, die eine Remote-Shell ohne Authentifizierung öffnet

Die RufRoot-Schwachstelle in Ruflo ermöglicht ungeauthentifizierte Remote-Befehle (RCE) mit CVSS 10.0. Erfahren Sie mehr über die kritische Sicherheitslücke.

29. Juli 202622:123 Min. LesezeitLesen

This product uses the NVD API but is not endorsed or certified by the NVD.

Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.

CVE-Datenbank

Verwandte Artikel

RufRoot: die kritische Schwachstelle (CVSS 10.0) in Ruflo, die eine Remote-Shell ohne Authentifizierung öffnet