CVE-2026-58195

Agentic-Flow bir yapay zeka ajanı orkestrasyon platformudur. 2.0.14 sürümünden önce; src/mcp/standalone-stdio.ts, src/mcp/fastmcp/servers/claude-flow-sdk.ts, src/mcp/fastmcp/servers/stdio-full.ts, src/mcp/fastmcp/servers/http-streaming-updated.ts, src/mcp/fastmcp/servers/http-sse.ts, src/mcp/fastmcp/servers/poc-stdio.ts, src/mcp/fastmcp/tools/agent/{execute,list,parallel}.ts, src/mcp/fastmcp/tools/swarm/orchestrate.ts ve src/mcp/fastmcp/tools/hooks/pretrain.ts dosyalarındaki agentic-flow MCP sunucu araçları; agent, task, name, language ve agentdb gibi saldırgan tarafından etkilenebilen araç parametrelerini doğrudan execSync() fonksiyonuna iletilen kabuk komutu dizgelerine yerleştirerek, MCP sunucu kullanıcısının yetkileriyle rastgele işletim sistemi komutlarının çalıştırılmasına izin vermekteydi. Bu sorun 2.0.14 sürümünde düzeltilmiştir.