CVE-2026-30624

HIGH CVSS 3.1: 8,6
Обновлено 17 апреля 2026
Agent
Параметр Значение
CVSS 8,6 (HIGH)
Тип уязвимости CWE-77 (Внедрение команд)
Поставщик Agent
Публичный эксплойт Нет

Agent Zero 0.9.8 содержит уязвимость удаленного выполнения кода в функции конфигурации внешних серверов MCP. Приложение позволяет пользователям определять серверы MCP, используя конфигурацию JSON, содержащую произвольные значения команд и аргументов. Эти значения выполняются приложением, когда конфигурация применяется без достаточной проверки или ограничения.

Злоумышленник может предоставить вредоносную конфигурацию MCP для выполнения произвольных команд операционной системы, что потенциально может привести к удаленному выполнению кода с привилегиями процесса Agent Zero.

Показать оригинальное описание (EN)

Agent Zero 0.9.8 contains a remote code execution vulnerability in its External MCP Servers configuration feature. The application allows users to define MCP servers using a JSON configuration containing arbitrary command and args values. These values are executed by the application when the configuration is applied without sufficient validation or restriction. An attacker may supply a malicious MCP configuration to execute arbitrary operating system commands, potentially resulting in remote code execution with the privileges of the Agent Zero process.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v3.1