Noma Labs a publié son enquête le 29 juillet sur une vulnérabilité qu’elle appelle RufRoot — CVE-2026-59726 — dans le pont MCP livré avec Ruflo, un méta-harness d’agents fort d’environ 66 000 étoiles sur GitHub, anciennement nommé Claude Flow. GitHub, agissant en tant que CNA, lui a attribué un score de 10.0. Le NVD n’a pas encore publié son propre score.
La chaîne
Un unique POST HTTP non authentifié vers /mcp sur le port 3001 atteint tools/call, qui atteint terminal_execute, soit un shell. De là : les clés API des fournisseurs depuis l’environnement, et un accès en écriture au savoir stocké de l’agent. La configuration Docker Compose par défaut exposait 233 outils distincts via cette interface — exécution de commandes, opérations de base de données, gestion du cycle de vie de l’agent, stockage de mémoire. La liste de blocage des commandes n’existait que dans les flux d’autopilote, laissant les points de terminaison POST sans protection.
Déjà corrigé — il y a quatre semaines
Il ne s’agit pas d’un zero-day. Noma a divulgué le problème en privé le 30 juin ; la version 3.16.3 a été publiée en l’espace d’environ une journée, le 1er juillet, et le CVE a été publié le 9 juillet. Le pont corrigé se lie à localhost, exige un jeton d’authentification ou refuse de démarrer, et rend l’exécution de terminal facultative.
La partie qui survit au correctif
C’est là la découverte véritablement nouvelle. Des attaquants pouvaient empoisonner des schémas dans le magasin d’apprentissage AgentDB — et la mise à niveau ne les supprime pas. Un déploiement compromis avant le correctif continue ensuite à servir un comportement d’agent altéré, depuis une version qui s’annonce comme corrigée. La remédiation implique donc de faire tourner les identifiants et d’auditer ou purger le savoir stocké, pas seulement de mettre à jour la version.
Périmètre
Aucune exploitation en conditions réelles n’a été observée, et aucun nombre d’instances exposées n’a été publié.