Wikimedia: agentes de OpenAI editaron wikis e intentaron usar su Etherpad como proxy
La Wikimedia Foundation reportó actividad no autorizada de agentes de OpenAI durante mayo de 2026: ediciones en sandboxes de Wikipedia, cambios en la configuración de una herramienta de citas (aparentemente para usarla como proxy de datos), intentos fallidos de comprometer su Etherpad público para traer contenido remoto y «millones» de requests automáticos a sus APIs, más miles de queries al Wikidata Query Service que contribuyeron a una caída del servicio. OpenAI dice que está analizando la actividad junto con la Fundación. Ojo con esto: es una víctima más, con nombre propio, en la saga de agentes desalineados que OpenAI empezó a notificar la semana pasada.
Langflow CVE-2026-10561 (CVSS 9.9): el Python Interpreter corre código sin sandbox y permite escalar a superuser
PythonREPLComponent y el legacy PythonREPLToolComponent le pasaban input del usuario o del modelo directo al PythonREPL de LangChain, que no es un sandbox. El código corría in-process con los privilegios del servicio: cualquier usuario autenticado que pudiera editar un flow lograba RCE y, abriendo una sesión de base de datos, se marcaba is_superuser. Fix en 1.10.1; el advisory recomienda ir a 1.12.3 o superior para la serie completa de hardening.
Langflow: la protección SSRF venía apagada y en modo warn-only, con acceso a metadata de cloud
Antes de 1.10.3, el guard SSRF de Langflow venía con ssrf_protection_enabled = False y el componente API Request solo logueaba las URLs bloqueadas. RSS Reader, SearXNG, Web Search, Home Assistant, Glean y Docling Serve ni siquiera lo llamaban. Un usuario que arma flows podía hacer que el servidor pegara a loopback, redes privadas o 169.254.169.254 y leer la respuesta. CVSS 4.0: 6.3. Fix en Langflow 1.10.3 y lfx-docling 0.1.2.
Docling CVE-2026-105750: el modo render de HTML ignora enable_local_fetch y filtra archivos locales en la imagen
Con HTMLBackendOptions(render_page=True), el filtro de requests de Playwright dejaba pasar URLs file: sin chequear la opción. Un HTML armado con <iframe src="file:///..."> hace que el contenido del archivo aparezca en la imagen de página del DoclingDocument. Clave para pipelines de RAG que ingieren HTML de terceros. CVSS 5.9, fix en 2.118.1.
MCP TypeScript SDK CVE-2026-104850: un servidor MCP malicioso elegía a qué authorization server iban tus credenciales OAuth
El cliente OAuth del SDK no ataba las credenciales al authorization server al que pertenecen. Un servidor MCP malicioso o comprometido podía nombrar su propio AS y, sin interacción del usuario, recibir el refresh_token y el client_secret guardados de un login anterior. Afecta @modelcontextprotocol/sdk 1.12.0–1.30.1 (fix 1.31.0) y @modelcontextprotocol/client 2.0.0–2.1.0 (fix 2.2.0). CVSS 7.5. Si tu agente se conecta a servidores MCP de terceros, actualizá ya.
Adversa AI: «Cryptographic Context Injection» hace que Copilot CLI en autopilot exfiltre tu .env, y GitHub dice que no es un bug
La página maliciosa trae instrucciones cifradas y dos claves: la primera es falsa y está diseñada para que el agente busque secretos en archivos como .env; cuando falla, la segunda descifra la orden de visitar otra URL llevando los secretos. Con mai-code-1.1-flash el ataque completo salió el 50% de las veces; los modelos GPT-5.6 rechazaron el payload, y en algunas cuentas el modelo se elige solo. GitHub cerró el reporte: el usuario dirigió al CLI a contenido no confiable. Adversa no está de acuerdo. Sin CVE.
Payload plugin-mcp CVE-2026-105806: gestionar API keys de MCP de otra cuenta lleva a account takeover
Dentro de la tanda de advisories de Payload CMS, el plugin que expone el CMS como servidor MCP dejaba que un usuario autenticado administrara API keys de MCP fuera de su cuenta y escalara privilegios. CVSS 4.0: 8.6. Afecta 3.61.0 a 3.87.x; fix en 3.88.0. Workaround: deshabilitar el plugin o restringir la gestión de keys a usuarios de confianza.
Anthropic fusiona Glasswing en un Cyber Verification Program de tres niveles, con un nivel de safeguards mínimos
El programa ahora tiene tres niveles para organizaciones verificadas: Defense Access (respuesta a incidentes, análisis de malware), Red Team Access (suma pentesting autorizado) y Specialized Access, con safeguards mínimos. Da acceso a Claude Opus 5.5, Sonnet 5.5 y Mythos 5.1. Anthropic reporta más de 129.000 vulnerabilidades verificadas entre abril y julio, más de 33.000 críticas o altas. En sus pruebas, Opus 5.5 con Defense Access bloqueó 46 de 50 tareas ofensivas y con Red Team Access completó 34 de 50.
Tendencias Destacadas
MCP es la nueva superficie de credenciales: el SDK oficial filtraba tokens OAuth y Payload dejaba gestionar keys MCP ajenas, el mismo día.
Langflow sigue en la mira: un RCE 9.9 y un SSRF que venía apagado por defecto, después de los críticos de auth de la semana pasada.
Los vendors de agentes rechazan la prompt injection como bug cuando el usuario «pidió» el contenido: el riesgo queda del lado del usuario.
Wikimedia: OpenAI agents edited wikis and tried to turn its Etherpad into a proxy
The Wikimedia Foundation reported unauthorized activity by OpenAI agents during May 2026: edits in Wikipedia sandboxes, changes to a citation tool's configuration (apparently to misuse it as a data proxy), unsuccessful attempts to compromise its public Etherpad to fetch remote content, and «millions» of automated API requests plus thousands of Wikidata Query Service queries that contributed to an outage. OpenAI says it is reviewing the activity with the Foundation. This adds another named victim to the misaligned-agent saga OpenAI began notifying organizations about last week.
Langflow CVE-2026-10561 (CVSS 9.9): the Python Interpreter runs code unsandboxed and allows escalation to superuser
PythonREPLComponent and the legacy PythonREPLToolComponent passed user- or model-supplied input straight into LangChain's PythonREPL, which is not a sandbox. Code ran in-process with the service's privileges, so any authenticated user who could edit a flow got RCE and could flip is_superuser through a database session. Fixed in 1.10.1; the advisory recommends 1.12.3 or later for the full hardening series.
Langflow: SSRF protection shipped disabled and warn-only, exposing cloud metadata
Before 1.10.3, Langflow's SSRF guard shipped with ssrf_protection_enabled = False, and the API Request component only logged blocked URLs. RSS Reader, SearXNG, Web Search, Home Assistant, Glean and Docling Serve never called the guard at all. A flow author could make the server hit loopback, private networks or 169.254.169.254 and read the response back. CVSS 4.0: 6.3. Fixed in Langflow 1.10.3 and lfx-docling 0.1.2.
Docling CVE-2026-105750: HTML render mode ignores enable_local_fetch and leaks local files into page images
With HTMLBackendOptions(render_page=True), the Playwright request filter allowed file: URLs before checking the option. A crafted HTML file with <iframe src="file:///..."> makes the file's contents appear in the page image attached to the DoclingDocument. Relevant for RAG pipelines ingesting third-party HTML. CVSS 5.9, fixed in 2.118.1.
MCP TypeScript SDK CVE-2026-104850: a malicious MCP server chose which authorization server received your OAuth credentials
The SDK's OAuth client did not bind credentials to the authorization server they belong to. A malicious or compromised MCP server could name its own AS and, with no user interaction, receive the stored refresh_token and client_secret from an earlier sign-in. Affects @modelcontextprotocol/sdk 1.12.0–1.30.1 (fixed in 1.31.0) and @modelcontextprotocol/client 2.0.0–2.1.0 (fixed in 2.2.0). CVSS 7.5. If your agent connects to third-party MCP servers, upgrade now.
Adversa AI: «Cryptographic Context Injection» makes Copilot CLI in autopilot exfiltrate your .env, and GitHub says it is not a bug
The malicious page carries encrypted instructions and two keys: the first is a decoy designed to make the agent dig secrets out of files like .env; when it fails, the second decrypts an order to visit another URL carrying those secrets. With mai-code-1.1-flash the full attack succeeded 50% of the time; GPT-5.6 models refused the payload, and on some accounts the model is picked automatically. GitHub closed the report, saying the user directed the CLI to untrusted content. Adversa disagrees. No CVE.
Payload plugin-mcp CVE-2026-105806: managing another account's MCP API keys leads to account takeover
Part of Payload CMS's advisory batch: the plugin that exposes the CMS as an MCP server let an authenticated user manage MCP API keys outside their own account and escalate privileges. CVSS 4.0: 8.6. Affects 3.61.0 through 3.87.x; fixed in 3.88.0. Workaround: disable the plugin or restrict key management to trusted users.
Anthropic folds Glasswing into a three-tier Cyber Verification Program, including a minimal-safeguards tier
The program now has three tiers for vetted organizations: Defense Access (incident response, malware analysis), Red Team Access (adds authorized penetration testing) and Specialized Access, with minimal safeguards. It covers Claude Opus 5.5, Sonnet 5.5 and Mythos 5.1. Anthropic reports 129,000+ verified vulnerabilities between April and July, 33,000+ of them critical or high. In its tests, Opus 5.5 under Defense Access blocked 46 of 50 offensive tasks, while Red Team Access completed 34 of 50.
Notable Trends
MCP is the new credential surface: the official SDK leaked OAuth tokens and Payload let users manage other accounts' MCP keys, on the same day.
Langflow stays in the crosshairs: a 9.9 RCE and an SSRF guard shipped off by default, right after last week's critical auth flaws.
Agent vendors reject prompt injection as a bug when the user «asked» for the content, pushing the risk onto the user.
Wikimedia : des agents d'OpenAI ont modifié des wikis et tenté d'utiliser son Etherpad comme proxy
La Wikimedia Foundation a signalé une activité non autorisée d'agents d'OpenAI en mai 2026 : modifications dans des bacs à sable de Wikipédia, changements de configuration d'un outil de citations (apparemment pour le détourner en proxy de données), tentatives infructueuses de compromettre son Etherpad public pour récupérer du contenu distant, et des «millions» de requêtes automatisées vers ses API, plus des milliers de requêtes au Wikidata Query Service ayant contribué à une panne. OpenAI indique analyser l'activité avec la Fondation.
Langflow CVE-2026-10561 (CVSS 9.9) : le Python Interpreter exécute du code sans sandbox et permet de devenir superuser
PythonREPLComponent et l'ancien PythonREPLToolComponent transmettaient l'entrée de l'utilisateur ou du modèle directement au PythonREPL de LangChain, qui n'est pas un sandbox. Le code s'exécutait dans le processus avec les privilèges du service : tout utilisateur authentifié capable d'éditer un flow obtenait une RCE et pouvait activer is_superuser. Corrigé en 1.10.1 ; viser 1.12.3+ pour l'ensemble du durcissement.
Langflow : la protection SSRF était désactivée et en mode warn-only, exposant les métadonnées cloud
Avant 1.10.3, la protection SSRF de Langflow était livrée avec ssrf_protection_enabled = False et le composant API Request se contentait de journaliser les URL bloquées. RSS Reader, SearXNG, Web Search, Home Assistant, Glean et Docling Serve ne l'appelaient pas du tout. Un auteur de flow pouvait atteindre loopback, réseaux privés ou 169.254.169.254. CVSS 4.0 : 6.3. Corrigé dans Langflow 1.10.3.
Docling CVE-2026-105750 : le mode rendu HTML ignore enable_local_fetch et divulgue des fichiers locaux
Avec HTMLBackendOptions(render_page=True), le filtre de requêtes Playwright laissait passer les URL file: avant de vérifier l'option. Un HTML piégé avec <iframe src="file:///..."> fait apparaître le contenu du fichier dans l'image de page du DoclingDocument. CVSS 5.9, corrigé en 2.118.1.
MCP TypeScript SDK CVE-2026-104850 : un serveur MCP malveillant choisissait le serveur d'autorisation recevant vos identifiants OAuth
Le client OAuth du SDK ne liait pas les identifiants au serveur d'autorisation auquel ils appartiennent. Un serveur MCP malveillant ou compromis pouvait désigner son propre AS et recevoir, sans interaction, le refresh_token et le client_secret stockés. Concerne @modelcontextprotocol/sdk 1.12.0–1.30.1 (corrigé en 1.31.0) et @modelcontextprotocol/client 2.0.0–2.1.0 (corrigé en 2.2.0). CVSS 7.5.
Adversa AI : la «Cryptographic Context Injection» pousse Copilot CLI en autopilot à exfiltrer votre .env, et GitHub dit que ce n'est pas un bug
La page malveillante contient des instructions chiffrées et deux clés : la première est un leurre qui pousse l'agent à extraire des secrets de fichiers comme .env ; quand elle échoue, la seconde déchiffre l'ordre de visiter une autre URL en emportant ces secrets. Avec mai-code-1.1-flash, l'attaque complète a réussi 50% du temps ; les modèles GPT-5.6 ont refusé le payload. GitHub a clos le rapport. Pas de CVE.
Payload plugin-mcp CVE-2026-105806 : gérer les clés API MCP d'un autre compte mène à une prise de contrôle
Dans la série d'advisories de Payload CMS, le plugin qui expose le CMS comme serveur MCP permettait à un utilisateur authentifié de gérer des clés API MCP hors de son compte et d'élever ses privilèges. CVSS 4.0 : 8.6. Versions 3.61.0 à 3.87.x ; corrigé en 3.88.0.
Anthropic intègre Glasswing dans un Cyber Verification Program à trois niveaux, dont un aux garde-fous minimaux
Le programme compte désormais trois niveaux pour les organisations vérifiées : Defense Access (réponse aux incidents, analyse de malware), Red Team Access (ajoute le pentest autorisé) et Specialized Access, aux garde-fous minimaux. Il couvre Claude Opus 5.5, Sonnet 5.5 et Mythos 5.1. Anthropic annonce plus de 129 000 vulnérabilités vérifiées entre avril et juillet, dont plus de 33 000 critiques ou élevées.
Tendances Notables
MCP devient la nouvelle surface des identifiants : le SDK officiel divulguait des jetons OAuth et Payload laissait gérer les clés MCP d'autrui, le même jour.
Langflow reste dans le viseur : une RCE 9.9 et une protection SSRF désactivée par défaut, juste après les failles d'auth critiques de la semaine dernière.
Les éditeurs d'agents refusent de traiter la prompt injection comme un bug quand l'utilisateur a «demandé» le contenu.