Oasis Security verknüpft die drei Befunde in einem 17-seitigen technischen Bericht über eine gemeinsame Produkteigenschaft: Agentenkonfiguration kann in ausführbares Verhalten umschlagen. Paperclip besitzt einen eingebauten Prozessadapter, der absichtlich einen konfigurierten Befehl als Kindprozess des Servers startet. Das ist laut Bericht eine legitime Funktion. Die Schwachstellen verschoben jedoch die Grenze, wer diese Funktion erreichen durfte und wessen Konfiguration der Server vertraute.
Der schwerwiegendste Pfad betrifft CVE-2026-41679. Bei netzwerkseitig erreichbaren Installationen mit verwundbarer Registrierungskonfiguration konnte ein Angreifer den offenen Standard-Anmeldeprozess nutzen, sich ohne Einladung oder verifizierte E-Mail registrieren, anmelden und den Autorisierungsvorgang der Kommandozeilenschnittstelle durchlaufen. Derselbe neu registrierte Nutzer konnte anschließend eine ausstehende CLI-Challenge anlegen und selbst freigeben, wodurch ein dauerhaftes Board-API-Zugangsmittel aktiviert wurde, ohne dass ein Administrator separat entscheiden musste.
Genau dieses Zugangsmittel hätte laut Bericht nicht ausreichen dürfen, um ein neues oberstes Unternehmen anzulegen. Während Paperclip bei direkter Anlage einer Firma Administratorrechte auf Instanzebene verlangte, akzeptierte die entsprechende Import-Route für neue Firmen bereits Zugriff auf Board-Ebene. Ein Angreifer konnte deshalb ein .paperclip.yaml-Bündel importieren, das eine neue Firma, einen Agenten mit Prozessadapter und den auszuführenden Befehl definierte. Der Import machte den Angreifer zugleich zum Mitglied der neuen Firma, sodass die normale Wakeup-Prüfung beim Start des Agenten bestand. Paperclip startete den Befehl dann mit den Betriebssystemrechten seines Serverprozesses.
Paperclip hat CVE-2026-41679 nach eigenen Angaben in v2026.416.0 behoben. Für Importe in eine neue Firma sind nun Administratorrechte auf Instanzebene nötig, für Importe in eine bestehende Firma Firmenzugriffsrechte. Dieselbe Prüfung schützt jetzt sowohl die Importvorschau als auch die eigentliche Ausführung. Rapid7 veröffentlichte zudem ein öffentliches Metasploit-Modul für CVE-2026-41679, das die Angriffskette mit sechs Anfragen automatisiert. Die von NVD übernommene CISA-ADP-Anreicherung kennzeichnet die Lücke als automatisierbar, mit vollständiger technischer Auswirkung und vorhandener Proof-of-Concept-Ausnutzung.
Der zweite kritische Pfad betrifft ein anderes Bereitstellungsmodell. In der Standardkonfiguration local_trusted bindet sich Paperclip an die Loopback-Schnittstelle und behandelte historisch jede eingehende Anfrage implizit als Instanzadministrator. Oasis demonstrierte hier einen DNS-Rebinding-Angriff, bei dem ein vom Angreifer kontrollierter Hostname sowohl auf den eigenen Server als auch auf 127.0.0.1 aufgelöst wurde. Der Browser lud zunächst JavaScript vom Angreiferserver. Nachdem dieser nicht mehr antwortete, liefen spätere Anfragen an denselben Hostnamen gegen den lokalen Paperclip-Dienst.
Da der Browser die Anfragen weiterhin als gleiche Herkunft einstufte und Paperclip den fremden Hostnamen im Host-Header akzeptierte, konnte die Seite die Import-API aufrufen, eine Firma mit prozessbasiertem Agenten installieren und deren Wakeup-Endpunkt auslösen. Weil der lokale Modus den umgebogenen Anfragen Administratorrechte zuwies, führte der Server den Befehl mit den Rechten des Entwicklers aus. Laut Oasis waren dafür weder Paperclip-Token noch Sitzungs-Cookies oder gestohlene Zugangsdaten nötig. Der dokumentierte Proof of Concept wurde auf macOS mit Firefox verifiziert; ob derselbe End-to-End-Effekt für alle Browser und Betriebssysteme gilt, lässt der öffentliche Stand offen.
Als direkte Gegenmaßnahme nennt der Bericht eine Hostnamen-Validierung. Im mit v2026.416.0 markierten Quellstand ist dieser Schutz für private Bereitstellungen in local_trusted- oder authenticated-Modus aktiviert. Er greift vor der Middleware, die einer Anfrage eine Identität zuweist, und weist so zurückgebundene Anfragen mit nicht genehmigtem Hostnamen ab, bevor sie die API erreichen.
Die dritte Warnmeldung GHSA-xfqj-r5qw-8g4j beschreibt mehrere API-Routen im authentifizierten Modus, die unauthentifizierte oder firmenfremde Anfragen nicht konsistent abwiesen. Mit einer gültigen Kennung eines Heartbeat-Runs ließ sich zugehörige Problemdaten abrufen, ohne den Zugriff auf die Firma nachzuweisen. Weitere exponierte Routen lieferten agentenseitige Skill-Dokumentation mit API-Pfaden und Authentifizierungskonventionen oder offenbarten Gesundheitsinformationen wie Bereitstellungsmodus, Version, Authentifizierungsbereitschaft, Bootstrap-Zustand, Exponierung und Funktionsschalter. Paperclip hat daraufhin Authentifizierung für allgemeine Skill-Routen, Firmenzugriffsprüfungen beim Abruf von Heartbeat-Problemen, einladungsgebundene Onboarding-Routen und eine reduzierte Health-Antwort für unauthentifizierte Nutzer ergänzt.
Laut The Hacker News meldete bis zum 5. August 2026 keine autoritative, von der Redaktion geprüfte Quelle eine aktive Ausnutzung in freier Wildbahn. Die Einträge sind allerdings nicht in allen Metadaten konsistent: Die GitHub-Sicherheitsfreigabe trägt die Versionsbezeichnung v2026.416.0, während Server- und CLI-Manifeste innerhalb desselben Tags 0.3.1 ausweisen. The Hacker News rät daher, sich für das Upgrade an v2026.416.0 oder neuer zu orientieren. Auch die Release Notes von Paperclip und Oasis empfehlen allen Installationen dieses Update.