CVE-2026-58195

Nome do Software Vulnerável e Versões Afetadas Agentic-Flow versões anteriores a 2.0.14

Description Uma plataforma de orquestração de agentes de IA não sanitiza adequadamente os parâmetros de ferramentas antes de passá-los para a função execSync(). Isso permite que um invasor influencie parâmetros como agent, task, name, language e agentdb, que são interpolados diretamente em strings de comando de shell. Consequentemente, isso pode levar à execução arbitrária de comandos do sistema operacional com os privilégios do usuário do servidor MCP. O problema afeta diversas ferramentas de servidor, incluindo aquelas em src/mcp/standalone-stdio.ts, src/mcp/fastmcp/servers/claude-flow-sdk.ts, src/mcp/fastmcp/servers/stdio-full.ts, src/mcp/fastmcp/servers/http-streaming-updated.ts, src/mcp/fastmcp/servers/http-sse.ts, src/mcp/fastmcp/servers/poc-stdio.ts, src/mcp/fastmcp/tools/agent/{execute,list,parallel}.ts, src/mcp/fastmcp/tools/swarm/orchestrate.ts e src/mcp/fastmcp/tools/hooks/pretrain.ts.

Recommendations Atualizar para a versão 2.0.14.