CVE-2026-58195

Agentic-Flow süni intellekt agentlərinin orkestrasiya platformasıdır. Versiya 2.0.14-dək olan Agentic-Flow MCP server alətləri src/mcp/standalone-stdio.ts, src/mcp/fastmcp/servers/claude-flow-sdk.ts, src/mcp/fastmcp/servers/stdio-full.ts, src/mcp/fastmcp/servers/http-streaming-updated.ts, src/mcp/fastmcp/servers/http-sse.ts, src/mcp/fastmcp/servers/poc-stdio.ts, src/mcp/fastmcp/tools/agent/{execute,list,parallel}.ts, src/mcp/fastmcp/tools/swarm/orchestrate.ts və src/mcp/fastmcp/tools/hooks/pretrain.ts fayllarında hücum edən tərəf tərəfindən idarə oluna bilən agent, task, name, language və agentdb kimi alət parametrlərini birbaşa execSync() funksiyasına ötürülən shell əmr sətirlərinə daxil etmişdir. Bu, MCP server istifadəçisinin imtiyazları ilə ixtiyari ƏS əmrlərinin icrasına şərait yaradır. Bu problem 2.0.14 versiyasında düzəldilmişdir.