Podatności Paperclip

Paperclip przed wersją 0.3.1 w domyślnym trybie local_trusted nie waliduje nagłówków Host, co pozwala atakującym na wykonanie dowolnych poleceń przez DNS rebinding. Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez dewelopera uruchamiającego Paperclip lokalnie, używa DNS rebinding do uwierzytelnionych żądań API i wykonuje polecenia przez adapter procesu.

Paperclip w wersjach 2026.403.0 przed 2026.416.0 zawiera podatność na zdalne wykonanie kodu, która pozwala posiadaczom kluczy API agenta na ustawienie cleanupCommand i teardownCommand poprzez PATCH /api/execution-workspaces/:id. Gdy obszar roboczy jest archiwizowany, cleanupExecutionWorkspaceArtifacts uruchamia te polecenia przez powłokę jako proces serwera Paperclip, wykonując wybrane przez atakującego polecenia OS na hoście serwera.

Paperclip (@paperclipai/server) w wersjach przed 2026.416.0 zawiera podatność na eskalację uprawnień, która pozwala atakującemu z kluczem API agenta na wykonanie dowolnych poleceń systemowych na hoście serwera Paperclip. Agenci mogą aktualizować własny adapterConfig poprzez endpoint /agents/:id, a pole adapterConfig.workspaceStrategy.provisionCommand jest później wykonywane przez serwer podczas provisioningu workspace.