p PatchFirst

CVE-2026-91988

CVE-2026-91988 · atomic-agents-stack before 1.1.0 Remote Code Execution via HTTP MCP

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

atomic-agents-stack before 1.1.0 accepts cleartext HTTP schemes in the HTTP MCP server-registry backend factory, allowing network man-in-the-middle attackers to rewrite catalog responses. Attackers can inject arbitrary command and argument values that are spawned as local subprocesses by MCPClientPool to achieve code execution on the agent host.

CVSS 9.2 · Critique · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • atomic-agents-stack

    Versions du logiciel
    • ≥ 0, < 1.1.0: Concernée (semver)
    • 1.1.0: Non concernée (semver)

    Mettez à jour vers 1.1.0

  • atomic-agents-stack PyPI

    Versions du logiciel
    • 1.0.0
    Plages de versions concernées
    • ECOSYSTEM: < 1.1.0

    Mettez à jour vers 1.1.0

Sources originales

Vérifiez votre serveur →