Команда Horizon3 показала уязвимость CVE-2026-61500 в Rejetto HFS 3.0.0–3.2.0 с оценкой 9,3 по CVSS 4.0. Модель Mythos от Anthropic помогла собрать цепочку атаки, которая позволяет получить административную сессию без пароля и выполнить код на сервере.
HFS создавал ключ подписи cookie через некриптографический Math.random(). Сервер раскрывал значения из того же потока случайных чисел, а Mythos предложил восстановить состояние xorshift128+ через Z3, вычислить секретный ключ и подписать поддельную cookie администратора.
Попытки эксплуатации уже фиксируют в интернете. Владельцам HFS стоит проверить установленную версию и доступность сервера извне. Версии до 3.2.1 включительно в уязвимый диапазон не входят только начиная с исправленного релиза 3.2.1.