CVE-2026-41679: stato di sfruttamento e disponibilità della patch

CVE-2026-41679 · CVSS 10.0 CRITICAL · EPSS 3%

Paperclip is a Node.js server and React UI that orchestrates a team of AI agents to run a business. Prior to version 2026.416.0, an unauthenticated attacker can achieve full remote code execution on any network-accessible Paperclip instance running in `authenticated` mode with default configuration. No user interaction, no credentials, just the target's address. The chain consists of six API calls. The attack is fully automated, requires no user interaction, and works against the default deployment configuration. Version 2026.416.0 patches the issue.

CVE-2026-41679 viene sfruttato?

• Non è nel catalogo CISA KEV.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 3%.
• Codice di exploit pubblico: integrato in uno strumento pubblico.

Quali prodotti e versioni sono interessati?

Nessun elenco di pacchetti interessati registrato qui.

Esiste una patch?

Nessun identificativo di patch registrato qui.

Cosa ha pubblicato PlainSec su CVE-2026-41679

• Imported Agents Become Server Commands in Paperclip (2026-08-07)
• Metasploit Turns Paperclip AI Into a Live Target (2026-06-20)

Fonti primarie

• NVD record
• Metasploit: exploit/linux/http/paperclipai_unauth_rce_cve_2026_41679

Cosa questa scheda non dice

• Nessun dato sui pacchetti interessati.
• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-08-11.