CVE-2026-91988
CVE-2026-91988 · atomic-agents-stack before 1.1.0 Remote Code Execution via HTTP MCP
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
atomic-agents-stack before 1.1.0 accepts cleartext HTTP schemes in the HTTP MCP server-registry backend factory, allowing network man-in-the-middle attackers to rewrite catalog responses. Attackers can inject arbitrary command and argument values that are spawned as local subprocesses by MCPClientPool to achieve code execution on the agent host.
CVSS 9.2 · Crítica · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: python
Productos y versiones afectados
atomic-agents-stack
- Versiones
- ≥ 0, < 1.1.0: Afectada (semver)
- 1.1.0: No afectada (semver)
Actualiza a 1.1.0
atomic-agents-stack PyPI
- Versiones
- 1.0.0
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.1.0
Actualiza a 1.1.0