جزئیات آسیب‌پذیری
CVE-2026-119713
paperclipai @paperclipai/server
Paperclip 2026.403.0 before 2026.416.0 RCE via Execution Workspace Cleanup Commands
CVSS 4.0
8.7بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Paperclip 2026.403.0 before 2026.416.0 contains a remote code execution vulnerability that allows agent API key holders to set cleanupCommand and teardownCommand via PATCH /api/execution-workspaces/:id. When the workspace is archived, cleanupExecutionWorkspaceArtifacts runs these commands through a shell as the Paperclip server process, executing attacker-chosen OS commands on the server host.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 8.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| paperclipai | @paperclipai/server | 2026.403.0 ≤ v < 2026.416.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۶- https://github.com/paperclipai/paperclip/security/advisories/GHSA-vr7g-88fq-vhq3 vendor-advisory
- https://github.com/paperclipai/paperclip/commit/32a9165ddf6308f3b46eae0653b6f583e502e538 patch
- https://github.com/paperclipai/paperclip/blob/v2026.403.0/server/src/routes/execution-workspaces.ts technical-description
- https://github.com/paperclipai/paperclip/releases/tag/v2026.416.0 release-notes
- https://github.com/paperclipai/paperclip product
- https://www.vulncheck.com/advisories/paperclip-2026.403.0-before-2026.416.0-rce-via-execution-workspace-cleanup-commands third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۸
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۸
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۷۹٪
احتمال بهره‌برداری در ۳۰ روز
۵۶٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- no
- Exploitation
- none
- Technical Impact
- total
ضعف‌ها (CWE)
- CWE-78Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')