Dos vulnerabilidades en Paperclip podrían permitir a atacantes ejecutar comandos en un servidor o en el ordenador de un desarrollador. Paperclip es una plataforma de control de código abierto para equipos de agentes de inteligencia artificial, y ambas rutas dependen de importar un agente malicioso y ponerlo en marcha. Una tercera falla podría exponer datos sensibles y detalles de la plataforma a través de rutas API sin los controles de acceso esperados.
La ruta más grave, en el lado del servidor, se registra como CVE-2026-41679 (CVSS 10.0). No requiere cuenta previa ni interacción de la víctima en despliegues accesibles por red que utilicen el modo autenticado con la configuración de registro predeterminada. La segunda, GHSA-x8hx-rhr2-9rf7 (CVSS 9.6), requiere que el usuario abra una página controlada por el atacante mientras Paperclip se ejecuta en su modo local_trusted predeterminado.
La etiqueta de fuente v2026.416.0 de Paperclip contiene la corrección de autorización de importación y la protección de validación de nombre de host. Rapid7 ha publicado un módulo de Metasploit para CVE-2026-41679, y la clasificación SSVC de CISA (incluida en NVD) señala explotación como prueba de concepto. Hasta el 5 de agosto de 2026, no se ha informado de explotación activa. Los operadores deben actualizar a v2026.416.0 o superior y revisar sus configuraciones de registro y exposición.
Una clave de tablero aprobada por su propio propietario
El ataque contra una instancia accesible desde Internet comienza con el flujo de registro abierto predeterminado. Un atacante puede registrarse sin invitación ni correo verificado, iniciar sesión y seguir el proceso de autorización de línea de comandos. El mismo usuario recién registrado puede crear un desafío CLI pendiente y aprobarlo, activando una credencial API de tablero duradera sin que un administrador lo decida.
Esa credencial no debería haber bastado para crear una compañía de nivel superior. Paperclip requería derechos de administrador de instancia al crear una compañía directamente, pero la ruta equivalente de importación de nueva compañía aceptaba acceso a nivel de tablero. El atacante podía suministrar un paquete .paperclip.yaml que definiera una nueva compañía, un agente usando el adaptador de proceso y el comando a ejecutar.
La importación también convertía al atacante en miembro de la nueva compañía, por lo que la comprobación normal de activación pasaba al iniciar el agente. Paperclip lanzaba el comando con los privilegios del sistema operativo del proceso del servidor. El impacto depende de la cuenta de servicio y del host, incluyendo datos de aplicación, repositorios, credenciales locales y servicios internos accesibles desde la máquina.
Paperclip corrigió CVE-2026-41679 en v2026.416.0 requiriendo autorización de administrador para imports dirigidos a una nueva compañía y acceso a la compañía para los que solicitan una existente. El mismo control ahora protege la vista previa y la ejecución de la importación. El registro abierto sigue disponible, pero un usuario recién registrado ya no puede tratar la ruta de importación de nueva compañía como una operación de administrador.
Rapid7 publicó un módulo de Metasploit en junio de 2026 que automatiza la cadena de ataque de seis solicitudes de CVE-2026-41679. La enriquecimiento de CISA-ADP incluido en NVD marca la falla como automatizable, con impacto técnico total y explotación de prueba de concepto. La vulnerabilidad no figuraba en el catálogo KEV de CISA al 5 de agosto de 2026, pero su ausencia no descarta explotación.
El navegador cruza hacia localhost
La segunda ruta ataca otro modelo de despliegue. En su configuración local_trusted predeterminada, Paperclip se vincula a la interfaz de bucle local y trataba históricamente cada solicitud como administrador implícito. Eso eliminaba fricciones para desarrollo local, pero convertía la ubicación de red en identidad.
Oasis demostró un ataque de DNS rebinding que resolvía un hostname controlado por el atacante a su propio servidor y también a 127.0.0.1. El navegador cargaba JavaScript del servidor del atacante y, cuando este dejaba de responder, las solicitudes a ese mismo nombre llegaban al servicio local. El navegador las consideraba mismo origen, y Paperclip aceptaba el hostname en la cabecera Host. La página podía llamar a la API de importación, instalar una compañía con un agente basado en proceso e invocar su wakeup.
Como el modo local asignaba autoridad de administrador a las solicitudes rebotadas, el servidor ejecutaba los comandos del atacante con los privilegios del desarrollador. No hacían falta tokens, cookies ni credenciales robadas. La prueba de concepto documentada se verificó en macOS con Firefox, por lo que el resultado no está confirmado en todos los navegadores y sistemas.
La corrección directa fue la validación de hostname. En la versión v2026.416.0, Paperclip habilita la protección de hostname privado para despliegues privados en modo local_trusted o autenticado. La protección se ejecuta antes del middleware que asigna identidad, rechazando cualquier solicitud rebotada con un hostname no aprobado.
Rutas sin sus controles
La tercera advertencia, GHSA-xfqj-r5qw-8g4j (CVSS 8.3), cubre varias rutas API en modo autenticado que no rechazaban de forma consistente solicitudes no autenticadas o entre compañías. Una llamada con un identificador de ejecución heartbeat válido podía recuperar datos de la incidencia sin probar acceso a la compañía. Otras rutas expuestas devolvían documentación de habilidades de los agentes, incluyendo rutas API y convenciones de autenticación, o información de salud como modo de despliegue, versión, estado de autenticación y flags de características.
El diseño subyacente permitía que una solicitud no autenticada continuara con una identidad de 'sin actor', dejando a cada ruta su propia verificación. Paperclip añadió autenticación a rutas generales de habilidades, comprobaciones de acceso de compañía a la recuperación de incidencias heartbeat, rutas de incorporación restringidas a invitaciones y una respuesta de salud reducida para usuarios no autenticados. En conjunto, las fallas muestran que Paperclip confió en una credencial, una ruta o una ubicación de red sin aplicar el control que la operación requería.
Los registros no coinciden
Paperclip utiliza dos etiquetas de versión para el mismo código etiquetado: la versión de seguridad en GitHub es v2026.416.0, mientras que los manifiestos del servidor y CLI muestran 0.3.1. Esta dualidad explica por qué los avisos mencionan ambas. La advertencia de DNS rebinding aún no tiene versión parcheada. La revisión del código etiquetado v2026.416.0 confirma que contiene la corrección de hostname, el requisito de administrador para importaciones de nueva compañía y el bloqueo de adaptadores de proceso y HTTP en el camino restringido.
Para los operadores, lo más seguro es actualizar a v2026.416.0 o posterior, en lugar de depender de metadatos antiguos. Las notas de lanzamiento de Paperclip instan a actualizar y Oasis recomienda v2026.416.0 o posterior.
Deja una respuesta