Paperclip - CVE-2026-41679

Il s'agit d'une vulnérabilité dans le mécanisme d'authentification et d'autorisation de l'API REST de Paperclip.

Paperclip est une plateforme Node.js composée d'un serveur backend et d'une interface React. Elle permet l'orchestration d'équipes d'agents d'intelligence artificielle dans un contexte de gestion d'entreprise automatisée.

L'inscription est ouverte sans vérification par défaut, l'endpoint de création de challenges CLI est accessible sans authentification et permet l'auto-approbation d'une clé API persistante, et l'endpoint d'import d'entreprise ne contrôle pas les droits administrateur en mode new_company. Un bundle d'import peut embarquer un adaptateur de type process qui invoque spawn() sans validation ni sandboxing. La chaîne complète tient en six appels API entièrement automatisables.

Elle permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires avec les droits du processus serveur, d'accéder à l'ensemble du système de fichiers et de la base de données, et de pivoter vers les services du réseau interne.