A Noma Labs publicou sua pesquisa em 29 de julho sobre uma vulnerabilidade que chama de RufRoot — CVE-2026-59726 — no bridge MCP incluído na Ruflo, um meta-harness de agentes com cerca de 66.000 estrelas no GitHub, anteriormente chamado Claude Flow. O GitHub, atuando como CNA, atribuiu a ela nota 10,0. O NVD ainda não emitiu sua própria pontuação.
A cadeia
Um único HTTP POST não autenticado para /mcp na porta 3001 alcança tools/call, que alcança terminal_execute, que é um shell. A partir daí: chaves de API de provedores saem do ambiente e há acesso de escrita ao conhecimento armazenado do agente. A configuração padrão do Docker Compose expunha 233 ferramentas distintas por essa interface — execução de shell, operações de banco de dados, gerenciamento do ciclo de vida do agente, armazenamento de memória. O bloqueio de comandos existia apenas em fluxos de piloto automático, deixando os endpoints POST desprotegidos.
Já corrigido — há quatro semanas
Não se trata de uma falha zero-day. A Noma divulgou a vulnerabilidade de forma privada em 30 de junho; a versão 3.16.3 foi lançada em cerca de um dia, em 1º de julho, e o CVE foi publicado em 9 de julho. O bridge corrigido vincula-se ao localhost, exige um token de autenticação ou se recusa a iniciar, e torna a execução de terminal opcional.
A parte que sobrevive ao patch
Esta é a descoberta realmente nova. Invasores podiam envenenar padrões no repositório de aprendizado AgentDB — e a atualização não os remove. Uma implantação comprometida antes da correção continua a servir comportamento adulterado do agente depois disso, a partir de uma versão que se apresenta como corrigida. A remediação, portanto, exige rotação de credenciais e auditoria ou پاک/remoção do conhecimento armazenado, e não apenas a atualização da versão.
Escopo
Nenhuma exploração em ambiente real foi observada, e nenhum número de instâncias expostas foi divulgado.