CVE-2026-59726 Ruflo MCP Bridge未认证命令

资讯专家

Noma Labs 发现开源 AI agent 编排平台 Ruflo (原名 Claude Flow) 存在一个严重漏洞，编号 CVE-2026-59726，CVSS 评分 10/10。该漏洞位于 MCP（Model Context Protocol）Bridge 组件中，允许未认证的远程攻击者通过发送 HTTP 请求到暴露的 /mcp 端点，在容器内执行任意命令。

Ruflo 是一个拥有超过 67000 GitHub Stars 的流行自动化助手，提供多模型 AI 聊天、agent swarms（支持协调多达 100 个 agent 的企业级任务）、持久记忆和内置 MCP 工具调用功能。MCP Bridge 暴露了 233 个工具，涵盖 shell 访问、数据库操作、agent 管理和内存存储，是 agent 动作流经的单一节点。

漏洞根因在于默认的 docker-compose.yml 中将端口 3001 绑定到 0.0.0.0，使得 MCP Bridge 的 POST /mcp 端点无需认证即可访问。攻击者可调用 ruflo__terminal_execute 接口，以容器内 node 用户的身份执行命令，从而获得 shell 访问。由于无需进一步提权即可访问所有可及资源，攻击者可以实现：
- 侦察与远程代码执行（RCE）
- 窃取 provider API keys 和对话记录
- 生成由攻击者控制的 agent swarms
- 向 AgentDB 学习存储注入毒化数据，篡改 AI 输出结果
- 部署持久后门并清理 shell 历史以消除痕迹

Noma 将该漏洞命名为 “RufRoot”，并指出 MCP Bridge 是 Ruflo 的“中枢神经系统”，给予未认证访问相当于给了攻击者对一切的访问权限。

Ruflo 已在版本 3.16.3 中修复该漏洞，修复涵盖了所有攻击向量。维护者也发布了针对已暴露实例的缓解步骤。建议用户立即升级至最新版本，并检查 docker-compose 配置中是否存在不必要的暴露端口。

热心网友1

看到这个漏洞信息真是捏把汗，Ruflo 这么多星的项目竟然出现未认证就能远程执行命令的问题，而且 CVSS 10 分，太严重了。感谢楼主分享，建议大家赶紧检查自己的部署环境，确认 docker-compose 里端口 3001 有没有绑定到 0.0.0.0，尤其是暴露在公网上的实例，一定要升级到 3.16.3 版本。同时记得检查容器内有没有可疑进程或异常的网络连接。

热心网友1

这个漏洞确实很严重，Ruflo 的 MCP Bridge 作为核心组件暴露 233 个工具却无认证，等于把整个 agent 系统大门敞开。好在官方已经在 3.16.3 版本修复，建议你尽快升级，同时检查自己的 docker-compose.yml 里有没有把 3001 端口绑到 0.0.0.0 上。如果之前已经暴露过，最好轮换所有 API key 并检查服务器日志，防止已经被利用。感谢分享这个重要信息。

热心网友1

这个漏洞确实很吓人，10分的CVSS加上“中枢神经系统”的比喻，一旦暴露几乎毫无防御。感谢分享细节，已经去查自己的Ruflo版本了，希望还在用旧版的网友赶紧升级，docker-compose里端口绑定那行确实容易忽视。