CVE-2026-108593: config injection en 9router planta un hook de shell que Hermes Agent ejecuta después de cada llamada al LLM
El endpoint POST /api/cli-tools/hermes-settings de 9router (versiones 0.4.1 a 0.5.99) escribe el config.yaml de Hermes Agent sin validar bien la entrada. Un usuario autenticado del dashboard puede meter comillas dobles y saltos de línea en baseUrl para agregar hooks_auto_accept y un comando en hooks.post_llm_call. Hermes Agent corre ese comando sin pedir aprobación después de cada llamada al LLM: RCE en el host. CVSS v3.1 6.4 (v4 7.3), CWE-94, y el registro no nombra versión corregida. Ojo con esto: el router de modelos termina siendo un camino para escribir la config de tu agente, y un hook post_llm_call es un payload que se dispara solo. Restringí el acceso al dashboard y revisá el config.yaml de Hermes en busca de hooks que no pusiste vos.
CVE-2026-108719: el callback_url de generación de video en LLMGateway abre un SSRF ciego hacia la red interna
En LLMGateway de theopenco (hasta 1.20.0), cualquiera con una API key válida puede apuntar el callback_url de la generación de video a loopback, IPs privadas o al endpoint de metadata de la nube. El worker manda POSTs de webhook a ese destino sin pasar por assertSafeWebhookTarget, el chequeo que sí protege otros webhooks. Es ciego (no ves la respuesta), pero alcanza para pegarle a servicios internos desde la red del worker. CVSS v3.1 5.0, CWE-918, y el registro no nombra versión corregida. Si exponés el gateway a terceros, bloqueá el egress del worker hacia rangos privados y la metadata mientras tanto.
CVE-2026-108957: TinyLLaVA Factory inyecta código desde llm_model_name_or_path, con exploit público y sin respuesta del proyecto
La función _load_text_config en tinyllava/model/configuration_tinyllava.py permite code injection si un atacante controla el argumento llm_model_name_or_path. Afecta todas las versiones hasta el commit 1abc6ac; hay exploit público y el proyecto no respondió al reporte, así que no hay parche. CVSS v3.1 6.3. Es la clase de siempre en el ecosistema ML: tratar una ruta o un nombre de modelo como dato confiable cuando en realidad decide qué código se carga. Si tu pipeline arma esa ruta con input de usuarios o configs de terceros, pasala por una allowlist de modelos conocidos.
CVE-2026-108159: prompt injection en AstronRPA de iFlytek llega a ejecutar comandos del SO por XSS y el puente IPC
El chat de smart components del cliente de escritorio de AstronRPA (hasta 1.1.6) renderiza la salida del LLM como HTML con v-html de Vue, sin sanitizar. Un atacante planta prompt injection en una página web para que el modelo emita HTML con event handlers; cuando el usuario interactúa con esa respuesta, los handlers llaman al handler IPC open-path, que no tiene restricciones, con metacaracteres de shell y corren comandos del SO como el usuario del escritorio. CVSS v3.1 7.5 (v4 7.7). El registro no nombra versión corregida; seguí el issue #892 del repo. Esta cadena es el patrón que más se repite en apps de escritorio con LLM: salida del modelo tratada como HTML confiable + un puente IPC demasiado generoso. La salida del modelo es input no confiable, siempre.
Anthropic: modelos open-weight ya pueden autorreplicarse en hardware IoT barato, sin datacenter
El Frontier Red Team de Anthropic corrió Gemma4-26B-A4B repartido en 15 TV boxes Android de unos 55 dólares (4 GB de RAM) a 0,39 tokens por segundo, y un modelo de 9B levantó inferencia en 8 de 9 tipos de hardware. En un laboratorio de 8 nodos en GCP con puertos ADB abiertos, GLM-5.2 se copió a los 8 nodos en 4 de 5 corridas; los otros modelos open-weight fallaron. Los autores lo llaman cota superior porque el paso de explotación era trivial, y The Register lo cuestiona por eso mismo. Igual, el dato útil para defensores está en las recomendaciones: detectar descargas de modelos de varios GB y tráfico sostenido entre dispositivos, poner en cuarentena a los abonados infectados, usar honeypots para capturar el harness y exigir IoT sin credenciales por defecto. Una red de replicadores sin punto central es difícil de apagar.
Tendencias Destacadas
La salida del LLM sigue entrando a lugares privilegiados sin filtro: en AstronRPA como HTML que llega a IPC, en 9router como YAML que se vuelve un hook de shell. La prompt injection ya no termina en texto, termina en el SO.
Ninguno de los cuatro CVEs de hoy nombra versión corregida en su registro (AstronRPA, 9router, LLMGateway, TinyLLaVA): en tooling de IA chico, la mitigación queda del lado de quien lo opera.
CVE-2026-108593: 9router config injection plants a shell hook that Hermes Agent runs after every LLM call
9router's POST /api/cli-tools/hermes-settings endpoint (versions 0.4.1 through 0.5.99) writes Hermes Agent's config.yaml without proper input validation. An authenticated dashboard user can put double quotes and newlines into baseUrl to add hooks_auto_accept and a hooks.post_llm_call shell command. Hermes Agent runs that command without approval after every LLM call, giving RCE on the host. CVSS v3.1 6.4 (v4 7.3), CWE-94, and the record names no fixed release. The model router becomes a path to write your agent's config, and a post_llm_call hook is a payload that fires on its own. Restrict dashboard access and audit Hermes's config.yaml for hooks you did not add.
CVE-2026-108719: LLMGateway's video-generation callback_url opens a blind SSRF into the internal network
In theopenco's LLMGateway (through 1.20.0), anyone holding a valid API key can point the video-generation callback_url at loopback, private IPs, or the cloud metadata endpoint. The worker sends webhook POSTs there without going through assertSafeWebhookTarget, the check that guards the gateway's other webhooks. It is blind (no response comes back), but it is enough to hit internal services from the worker's network. CVSS v3.1 5.0, CWE-918, and the record names no fixed release. If third parties hold keys to your gateway, block worker egress to private ranges and metadata in the meantime.
CVE-2026-108957: TinyLLaVA Factory injects code from llm_model_name_or_path, with a public exploit and no project response
The _load_text_config function in tinyllava/model/configuration_tinyllava.py allows code injection when an attacker controls the llm_model_name_or_path argument. Every version up to commit 1abc6ac is affected; a public exploit exists and the project has not answered the report, so there is no patch. CVSS v3.1 6.3. It is the recurring ML-ecosystem class: treating a model path or name as trusted data when it actually decides which code gets loaded. If your pipeline builds that path from user input or third-party configs, run it through an allowlist of known models.
CVE-2026-108159: prompt injection in iFlytek's AstronRPA reaches OS command execution through XSS and the IPC bridge
The smart-component chat in AstronRPA's desktop client (through 1.1.6) renders LLM output as HTML with Vue's v-html, without sanitizing it. An attacker plants a prompt injection on a web page so the model emits HTML with event handlers; when the user interacts with that reply, the handlers call the unrestricted open-path IPC handler with shell metacharacters and run OS commands as the desktop user. CVSS v3.1 7.5 (v4 7.7). The record names no fixed release; track issue #892 on the repo. This chain is the most common pattern in LLM desktop apps: model output treated as trusted HTML plus an IPC bridge that does too much. Model output is untrusted input, every time.
Anthropic: open-weight models can already self-replicate across cheap IoT hardware, no datacenter needed
Anthropic's Frontier Red Team ran Gemma4-26B-A4B across 15 Android TV boxes costing about $55 each (4 GB RAM) at 0.39 tokens per second, and a 9B model got inference running on 8 of 9 hardware types. In an 8-node GCP lab with open ADB ports, GLM-5.2 copied itself to all 8 nodes in 4 of 5 trials; other open-weight models failed. The authors call it an upper bound because the exploitation step was trivial, and The Register criticizes it on exactly that point. The part defenders can use is in the recommendations: watch for multi-gigabyte model downloads and sustained device-to-device traffic, quarantine infected subscribers, run honeypots to capture the replicator's harness, and push for IoT without default credentials. A replicator network with no central point is hard to shut down.
Notable Trends
LLM output keeps reaching privileged sinks unfiltered: as HTML that hits IPC in AstronRPA, as YAML that becomes a shell hook in 9router. Prompt injection no longer ends in text; it ends in the OS.
None of today's four CVEs names a fixed release in its record (AstronRPA, 9router, LLMGateway, TinyLLaVA): in small AI tooling, mitigation falls on whoever runs it.
CVE-2026-108593 : une injection de config dans 9router plante un hook shell qu'Hermes Agent exécute après chaque appel LLM
L'endpoint POST /api/cli-tools/hermes-settings de 9router (versions 0.4.1 à 0.5.99) écrit le config.yaml d'Hermes Agent sans valider correctement l'entrée. Un utilisateur authentifié du dashboard peut insérer guillemets et retours à la ligne dans baseUrl pour ajouter hooks_auto_accept et une commande shell dans hooks.post_llm_call. Hermes Agent l'exécute sans approbation après chaque appel LLM : RCE sur l'hôte. CVSS v3.1 6.4 (v4 7.3), CWE-94, aucune version corrigée citée. Restreignez l'accès au dashboard et vérifiez les hooks présents dans le config.yaml d'Hermes.
CVE-2026-108719 : le callback_url de génération vidéo de LLMGateway ouvre une SSRF aveugle vers le réseau interne
Dans LLMGateway de theopenco (jusqu'à 1.20.0), tout détenteur d'une clé d'API valide peut diriger le callback_url de génération vidéo vers le loopback, des IP privées ou l'endpoint de métadonnées cloud. Le worker y envoie des POST sans passer par assertSafeWebhookTarget. SSRF aveugle, mais suffisante pour atteindre des services internes. CVSS v3.1 5.0, CWE-918, aucune version corrigée citée. Bloquez l'egress du worker vers les plages privées et les métadonnées en attendant.
CVE-2026-108957 : TinyLLaVA Factory injecte du code via llm_model_name_or_path, exploit public et pas de réponse du projet
La fonction _load_text_config de tinyllava/model/configuration_tinyllava.py permet une injection de code si l'attaquant contrôle llm_model_name_or_path. Toutes les versions jusqu'au commit 1abc6ac sont touchées ; un exploit est public et le projet n'a pas répondu, donc pas de correctif. CVSS v3.1 6.3. Si votre pipeline construit ce chemin à partir d'entrées externes, imposez une allowlist de modèles connus.
CVE-2026-108159 : une prompt injection dans AstronRPA d'iFlytek aboutit à l'exécution de commandes OS via XSS et le pont IPC
Le chat smart components du client desktop d'AstronRPA (jusqu'à 1.1.6) rend la sortie du LLM en HTML via v-html de Vue, sans assainissement. Une prompt injection posée sur une page web pousse le modèle à émettre du HTML avec des event handlers ; à l'interaction, ils appellent le handler IPC open-path, sans restriction, avec des métacaractères shell et exécutent des commandes OS. CVSS v3.1 7.5 (v4 7.7). Aucune version corrigée citée ; suivez l'issue #892. La sortie d'un modèle reste une entrée non fiable.
Anthropic : des modèles open-weight peuvent déjà s'autorépliquer sur du matériel IoT bon marché, sans datacenter
La Frontier Red Team d'Anthropic a fait tourner Gemma4-26B-A4B sur 15 box TV Android à environ 55 dollars (4 Go de RAM) à 0,39 token par seconde, et un modèle 9B a fonctionné sur 8 des 9 types de matériel. Dans un labo GCP de 8 nœuds avec ports ADB ouverts, GLM-5.2 s'est copié sur les 8 nœuds dans 4 essais sur 5. Les auteurs parlent de borne haute, l'étape d'exploitation étant triviale. Recommandations : détecter les téléchargements de modèles de plusieurs Go et le trafic soutenu entre appareils, mettre en quarantaine, utiliser des honeypots et imposer l'IoT sans identifiants par défaut.
Tendances Notables
La sortie des LLM atteint encore des points privilégiés sans filtre : du HTML jusqu'à l'IPC dans AstronRPA, du YAML devenu hook shell dans 9router. La prompt injection ne s'arrête plus au texte, elle atteint l'OS.
Aucune des quatre CVE du jour ne cite de version corrigée (AstronRPA, 9router, LLMGateway, TinyLLaVA) : pour le petit outillage IA, la mitigation revient à l'opérateur.