Un atacante encadeno tres agentes open source y entro a una hotelera Fortune 500, una aerolinea de EE.UU. y 25+ organizaciones mas
La firma Gambit documento una campana criminal operada casi entera por agentes open source: Hermes como orquestador (corriendo Claude Opus 4.6 con 121 skills custom), Strix como scanner de vulnerabilidades (GLM 5.2 y DeepSeek) y Cairn para pentesting autonomo (DeepSeek v4.1 Flash).
Las victimas incluyen una hotelera Fortune 500, una aerolinea grande de EE.UU., un distribuidor industrial, un retailer de moda online y mas de 23 organizaciones adicionales. Se robaron mas de 600.000 registros de tarjetas en dos de ellas. La cadena: SQL injection combinada con abuso de OTP, web shells, escalada por reglas sudo mal configuradas, harvesting de credenciales AWS y skimmers JavaScript en el checkout. Cada objetivo tomaba menos de un dia, a un costo promedio de unos 25 dolares por scan completado.
Ojo con esto: ninguna tecnica es nueva. Lo nuevo es la economia. Cuando la cadena completa de explotacion cuesta lo que un almuerzo, la ventana entre publicar un bug web trivial y que alguien lo explote a escala se achica a casi nada.
SalesBleed: tres fallas en Salesforce Agentforce permitian robo 0-click de datos del CRM y phishing anonimo
Zenity Labs publico SalesBleed, tres vulnerabilidades en agentes de Salesforce Agentforce. Un formulario de lead envenenado alcanzaba para que el agente procesara instrucciones del atacante sin interaccion del usuario (prompt injection 0-click), exfiltrara datos del CRM via el unfurling de URLs en Slack y mandara mensajes de phishing con la identidad confiable del agente usando la accion Reply to Slack Thread.
Salesforce confirmo que trabajaba en el fix el 2 de junio y completo las correcciones el 21 de septiembre; Zenity verifico que las tres quedaron resueltas. El patron es el de siempre: input publico (un formulario web) entra al contexto de un agente con acceso a datos privados y a un canal de salida. Las tres patas juntas son la receta del exfil.
CVE-2026-61742: DNS rebinding en el transporte HTTP de DBHub permite que cualquier web ejecute SQL via MCP
@bytebase/dbhub, el servidor MCP para bases de datos, expone un endpoint MCP sin autenticacion cuando se levanta con --transport http. Su defensa contra navegadores era comparar el hostname de Origin con el de Host — y eso no frena DNS rebinding, porque despues del rebind ambos headers traen el dominio del atacante.
Resultado: una web maliciosa invoca herramientas MCP de DBHub desde el navegador de la victima, sin prompt injection ni modelo de por medio. CVSS v4 9.3. Afecta <= 0.22.4, fix en 0.22.5.
El mismo dia salio CVE-2026-61788 (CVSS 7.4): el modo readonly de execute_sql no hacia la conexion read-only porque el codigo que setea default_transaction_read_only dependia de un valor de config que nunca se poblaba. Un SELECT con funciones con side effects pasaba el clasificador; con un rol privilegiado eso es pg_read_file, lo_export y RCE via COPY ... TO PROGRAM. Fix en 0.22.6, asi que actualiza directo a esa.
langchain-nvidia-ai-endpoints: rutas locales como input de imagen VLM filtran archivos al endpoint del modelo
Hasta la 1.4.1, langchain-nvidia-ai-endpoints aceptaba rutas del filesystem como inputs de imagen para modelos de vision. Si tu app deja que un usuario controle la URL de imagen o la metadata de un documento que llega a ChatNVIDIA o NVIDIARerank, el atacante puede hacer que se lea cualquier archivo accesible por el proceso y se mande en el request saliente al endpoint NVIDIA/NIM.
CVSS v3 7.5, sin CVE asignado todavia. Fix en 1.4.2. Si solo pasas referencias de imagen confiables, no te afecta — pero en pipelines RAG multimodal esa metadata suele venir de documentos subidos por usuarios.
CVE-2026-61732: Decepticon mete literales ChatML de paginas crawleadas en el contexto y el atacante forja un turno de operador
Decepticon, un framework de red teaming con agentes, envuelve los resultados del crawl de los targets en mensajes al LLM sin neutralizar literales de tokens especiales de ChatML. En el modelo BYOK apuntas a cualquier endpoint compatible con OpenAI, y la mayoria de los servers self-hosted (vLLM, SGLang, Ollama, LM Studio, text-generation-webui) no filtran esos literales del contenido de usuario: los tokenizan como limites de rol reales.
Entonces un string plantado en la web objetivo abre un turno de operador nuevo que el modelo trata como autoritativo, saltea los guardrails del agente y termina en ejecucion de comandos en el sandbox Kali. CVSS v3 10.0. Afecta decepticon, decepticon-core y decepticon-sdk <= 1.1.16; fix en 1.1.17.
Esto va mas alla de Decepticon: si tu agente consume texto externo y lo mandas a un modelo self-hosted, verifica que el server no parsee tokens especiales dentro del contenido de usuario. Es prompt injection al nivel del tokenizer.
CVE-2026-59723: Cline Hub acepta WebSockets cross-origin y una web cualquiera inyecta un servidor MCP malicioso
El dashboard de Cline Hub (cline dashboard) acepta conexiones WebSocket en /browser sin validar el header Origin. Sin ROOM_SECRET — el default en binds locales — la autorizacion devuelve true siempre. Cualquier pagina que visites puede abrir ws://127.0.0.1:8787/browser y mandar frames para leer el estado del workspace, cambiar settings de providers y MCP.
Y como las sesiones del dashboard vienen con autoApprove: true para todas las tools, eso escala a ejecucion de comandos si hay un modelo configurado. Confirmado dinamicamente: un frame upsert_mcp_server metio un server MCP stdio malicioso en la config de la victima. CVSS v3 8.8. Fix en 3.0.30.
CVE-2026-12957 y CVE-2026-12958: los language servers de Amazon Q ejecutan comandos del workspace y siguen symlinks fuera de el
Dos advisories en @aws/lsp-codewhisperer, el runtime que mueve el chat agentico de Amazon Q Developer en VS Code, JetBrains, Visual Studio y Eclipse. CVE-2026-12957 (CVSS v4 8.5): al abrir un workspace malicioso y confiar en el, el agente ejecuta automaticamente comandos definidos en archivos de config del proyecto. Fix en 0.0.113.
CVE-2026-12958 (CVSS v4 8.5): faltaba validar symlinks, asi que un symlink dentro del workspace que apunta afuera permite que el agente escriba fuera del limite de confianza sin pedir aprobacion. Fix en 0.0.117. Ojo: los CVE son de junio, pero el advisory de GitHub se publico recien ahora; si tu plugin no auto-actualiza, revisa la version del language server.
Tendencias Destacadas
El dia deja claro que el agente ya es arma y blanco a la vez. Del lado ofensivo, Gambit muestra una campana entera montada con agentes open source a 25 dolares por objetivo. Del lado defensivo, las fallas no estan en los modelos sino en la plomeria: dashboards locales sin chequeo de Origin (Cline), servers MCP HTTP sin auth (DBHub), tokenizers que aceptan tokens de rol dentro del contenido (Decepticon). Ojo con esto: localhost no es una frontera de seguridad cuando tu navegador visita la web entera.
An attacker chained three open source agents to break into a Fortune 500 hospitality firm, a major US airline and 25+ other orgs
Security firm Gambit documented a criminal campaign run almost entirely by open source agents: Hermes as orchestrator (running Claude Opus 4.6 with 121 custom skills), Strix as vulnerability scanner (GLM 5.2 and DeepSeek) and Cairn for autonomous pentesting (DeepSeek v4.1 Flash).
Victims include a Fortune 500 hospitality company, a major US airline, an industrial supplies distributor, an online fashion retailer and 23+ more organizations. Over 600,000 card records were stolen across two of them. The chain: SQL injection combined with OTP abuse, web shells, privilege escalation through misconfigured sudo rules, AWS credential harvesting and JavaScript skimmers on checkout pages. Each target took less than a day, at an average of about $25 per completed scan.
None of the techniques are new. What is new is the economics: when a full exploitation chain costs the price of lunch, the gap between a trivial web bug existing and someone exploiting it at scale collapses.
SalesBleed: three Salesforce Agentforce flaws allowed 0-click CRM data theft and anonymous phishing
Zenity Labs published SalesBleed, three vulnerabilities in Salesforce Agentforce agents. A poisoned lead form was enough to make the agent process attacker instructions with no user interaction (0-click prompt injection), exfiltrate CRM data via Slack URL unfurling, and send phishing messages under the agent's trusted identity using the Reply to Slack Thread action.
Salesforce confirmed it was working on fixes on June 2 and completed them on September 21; Zenity verified all three were resolved. The pattern is the familiar one: public input (a web form) lands in the context of an agent with private data access and an outbound channel. Those three legs together are the exfiltration recipe.
CVE-2026-61742: DNS rebinding in DBHub HTTP transport lets any website run SQL through MCP
@bytebase/dbhub, the database MCP server, exposes an unauthenticated MCP endpoint when started with --transport http. Its browser defense compared the Origin hostname to the Host hostname — which does not stop DNS rebinding, since after the rebind both headers carry the attacker domain.
Result: a malicious website invokes DBHub MCP tools from the victim's browser, no prompt injection or model involved. CVSS v4 9.3. Affects <= 0.22.4, fixed in 0.22.5.
The same day brought CVE-2026-61788 (CVSS 7.4): readonly mode on execute_sql did not make the connection read-only, because the code setting default_transaction_read_only was gated on a config value that was never populated. A SELECT calling side-effecting functions passed the keyword classifier; with a privileged role that means pg_read_file, lo_export and RCE via COPY ... TO PROGRAM. Fixed in 0.22.6 — upgrade straight to that.
langchain-nvidia-ai-endpoints: local paths as VLM image inputs leak files to the model endpoint
Up to 1.4.1, langchain-nvidia-ai-endpoints accepted filesystem paths as image inputs for vision models. If your app lets a user control the image URL or document image metadata reaching ChatNVIDIA or NVIDIARerank, an attacker can make any file readable by the process get read and shipped in the outbound request to the NVIDIA/NIM endpoint.
CVSS v3 7.5, no CVE assigned yet. Fixed in 1.4.2. Trusted-only image references are unaffected — but in multimodal RAG pipelines that metadata often comes from user-uploaded documents.
CVE-2026-61732: Decepticon feeds ChatML literals from crawled pages into context, letting attackers forge an operator turn
Decepticon, an agentic red-teaming framework, wraps target crawl results into LLM messages without neutralizing ChatML special-token literals. Under BYOK you point it at any OpenAI-compatible endpoint, and most self-hosted servers (vLLM, SGLang, Ollama, LM Studio, text-generation-webui) do not filter those literals from user content by default — they tokenize them as real role boundaries.
So a string planted on the target site opens a new operator turn the model treats as authoritative, bypasses the agent's guardrails and ends in command execution inside the Kali sandbox. CVSS v3 10.0. Affects decepticon, decepticon-core and decepticon-sdk <= 1.1.16; fixed in 1.1.17.
This reaches beyond Decepticon: if your agent consumes external text and sends it to a self-hosted model, check that the server does not parse special tokens inside user content. It is prompt injection at the tokenizer layer.
CVE-2026-59723: Cline Hub accepts cross-origin WebSockets and any website can inject a malicious MCP server
The Cline Hub dashboard (cline dashboard) accepts WebSocket connections on /browser without validating the Origin header. Without ROOM_SECRET — the default on local binds — authorization always returns true. Any page you visit can open ws://127.0.0.1:8787/browser and send frames to read workspace state and mutate provider and MCP settings.
Because dashboard sessions default to autoApprove: true for every tool, this escalates to command execution when a model is configured. Dynamically confirmed: an upsert_mcp_server frame injected a malicious stdio MCP server into the victim's settings. CVSS v3 8.8. Fixed in 3.0.30.
CVE-2026-12957 and CVE-2026-12958: Amazon Q language servers run workspace commands and follow symlinks outside it
Two advisories in @aws/lsp-codewhisperer, the runtime behind Amazon Q Developer agentic chat in VS Code, JetBrains, Visual Studio and Eclipse. CVE-2026-12957 (CVSS v4 8.5): opening and trusting a malicious workspace lets the agent automatically execute commands defined in project-level config files. Fixed in 0.0.113.
CVE-2026-12958 (CVSS v4 8.5): missing symlink validation means a symlink inside the workspace pointing outside it lets the agent write beyond the trust boundary without asking for approval. Fixed in 0.0.117. The CVEs date from June but the GitHub advisory only landed now; if your plugin does not auto-update, check the language server version.
Notable Trends
Today makes it clear the agent is now both weapon and target. On offense, Gambit shows a whole campaign built from open source agents at $25 per target. On defense, the flaws are not in the models but in the plumbing: local dashboards without Origin checks (Cline), unauthenticated HTTP MCP servers (DBHub), tokenizers that accept role tokens inside content (Decepticon). Localhost is not a security boundary when your browser visits the whole web.
Un attaquant a enchaine trois agents open source pour penetrer une entreprise hoteliere du Fortune 500, une grande compagnie aerienne americaine et 25+ autres organisations
La societe Gambit a documente une campagne criminelle menee presque entierement par des agents open source: Hermes comme orchestrateur (Claude Opus 4.6 avec 121 skills custom), Strix comme scanner de vulnerabilites (GLM 5.2 et DeepSeek) et Cairn pour le pentest autonome (DeepSeek v4.1 Flash).
Parmi les victimes: une entreprise hoteliere du Fortune 500, une grande compagnie aerienne americaine, un distributeur industriel, un e-commercant de mode et plus de 23 autres organisations. Plus de 600 000 donnees de cartes ont ete volees chez deux d entre elles. La chaine: SQL injection combinee a un abus d OTP, web shells, elevation via des regles sudo mal configurees, vol de credentials AWS et skimmers JavaScript sur les pages de paiement. Moins d un jour par cible, environ 25 dollars par scan.
SalesBleed: trois failles de Salesforce Agentforce permettaient un vol 0-click de donnees CRM et du phishing anonyme
Zenity Labs a publie SalesBleed, trois vulnerabilites dans les agents Salesforce Agentforce. Un formulaire de lead empoisonne suffisait pour que l agent execute des instructions de l attaquant sans interaction (prompt injection 0-click), exfiltre des donnees CRM via l unfurling d URLs Slack et envoie du phishing sous l identite de confiance de l agent via l action Reply to Slack Thread.
Salesforce a confirme travailler sur les correctifs le 2 juin et les a finalises le 21 septembre; Zenity a verifie que les trois sont corriges.
CVE-2026-61742: DNS rebinding dans le transport HTTP de DBHub permet a n importe quel site d executer du SQL via MCP
@bytebase/dbhub, le serveur MCP pour bases de donnees, expose un endpoint MCP sans authentification en mode --transport http. Sa defense comparait le hostname d Origin a celui de Host, ce qui n arrete pas le DNS rebinding.
Un site malveillant peut donc invoquer les outils MCP de DBHub depuis le navigateur de la victime. CVSS v4 9.3, corrige en 0.22.5. Le meme jour, CVE-2026-61788 (CVSS 7.4): le mode readonly n etait pas applique a la connexion; corrige en 0.22.6.
langchain-nvidia-ai-endpoints: des chemins locaux comme images VLM divulguent des fichiers vers l endpoint du modele
Jusqu a la 1.4.1, langchain-nvidia-ai-endpoints acceptait des chemins locaux comme images pour les modeles de vision. Un attaquant controlant l URL d image ou la metadata d un document peut faire lire un fichier local et l envoyer vers l endpoint NVIDIA/NIM. CVSS v3 7.5, corrige en 1.4.2.
CVE-2026-61732: Decepticon injecte des litteraux ChatML de pages crawlees dans le contexte, permettant de forger un tour operateur
Decepticon, un framework de red teaming agentique, insere les resultats de crawl dans les messages LLM sans neutraliser les litteraux de tokens speciaux ChatML. La plupart des serveurs self-hosted (vLLM, SGLang, Ollama, LM Studio) ne filtrent pas ces litteraux et les traitent comme de vraies frontieres de role.
Une chaine plantee sur le site cible ouvre un faux tour operateur, contourne les guardrails et mene a l execution de commandes dans le sandbox Kali. CVSS v3 10.0, corrige en 1.1.17.
CVE-2026-59723: Cline Hub accepte des WebSockets cross-origin et n importe quel site peut injecter un serveur MCP malveillant
Le dashboard Cline Hub accepte des WebSockets sur /browser sans valider Origin, et sans ROOM_SECRET (defaut en local) l autorisation renvoie toujours true. Avec autoApprove: true par defaut, une page web peut injecter un serveur MCP stdio malveillant et obtenir l execution de commandes. CVSS v3 8.8, corrige en 3.0.30.
CVE-2026-12957 et CVE-2026-12958: les language servers d Amazon Q executent des commandes du workspace et suivent des symlinks hors de celui-ci
Deux advisories dans @aws/lsp-codewhisperer, le runtime du chat agentique d Amazon Q Developer. CVE-2026-12957 (CVSS v4 8.5): un workspace malveillant approuve peut faire executer automatiquement des commandes de config projet; corrige en 0.0.113. CVE-2026-12958 (CVSS v4 8.5): un symlink permet d ecrire hors du workspace sans approbation; corrige en 0.0.117.
Tendances Notables
La journee montre que l agent est desormais arme et cible. En attaque, Gambit decrit une campagne entiere montee avec des agents open source a 25 dollars par cible. En defense, les failles ne sont pas dans les modeles mais dans la plomberie: dashboards locaux sans verification d Origin (Cline), serveurs MCP HTTP sans authentification (DBHub), tokenizers qui acceptent des tokens de role dans le contenu (Decepticon). Localhost n est pas une frontiere de securite quand le navigateur visite tout le web.