Check Point ResearchCheck Point Research · Check Point Research 对开源 LLM 网关 LiteLLM 1.77.7 的安全评估发现多个高危漏洞，核心问题是 /config/update 端点缺少基于角色的授权检查，任意已登录用户（包括低权限的 Internal User）都能修改代理运行时配置，进而通过注入 UI_LOGO_PATH 环境变量读取任意文件、覆盖 UI_USERNAME 与 UI_PASSWORD 接管管理界面。相关漏洞已在 LiteLLM 1.83.9 版本中修复。
NVD 于 10 月 12 日登记 agno（agno-agi）的 5 个新 CVE，涵盖 CodingTools 命令注入、PythonTools 代码注入、AgentOS 默认认证缺失、编排层动态代码执行与团队委托过度权限。其中 CodingTools.run_shell 命令注入为 CVE-2026-108817，影响 3.0.9 及之前版本，CVSS 3.1 评分 5.5，官方称升级至 3.0.10 或 commit ed64fab。
GitLab、The Hacker NewsGitLab 等 2 个来源 · 2篇报道 · GitLab 于 2026 年 10 月 12 日发布 19.4.2、19.3.5、19.2.8 补丁版本，修复多个安全问题。其中 Duo Agent Platform 提示注入漏洞 CVE-2026-96893 的 CVSS 评分为 7.3，认证用户可向 AI 智能体指令注入特制内容，可能导致以其他用户名义执行非预期命令，受影响版本为 GitLab EE 19.1 起至 19.2.8 之前、19.3 起至 19.3.5 之前等。同一更新还修复了 CVSS 10.0 的最高危漏洞 CVE-2026-97229：因正则表达式校验不足，未认证用户可通过 CI/CD 配置中的特制正则表达式在 GitLab 服务器上执行任意代码，19.2、19.3、19.4 的更早版本受影响。此外还修复了 CVE-2026-92883（8.7，跨站脚本）和 CVE-2026-16301（8.5，下游流水线授权不当）。
OpenCVEOpenCVE · Ollama 0.34.1 及之前版本的 Pull API 存在服务端请求伪造（SSRF）漏洞，位于 types/model/name.go 的 IsValid 函数，对模型名处理不当。远程攻击者可构造 API 调用，让服务器向任意 URL 发起请求，进而外泄数据或访问内部服务。该漏洞编号 CVE-2026-108836，CVSS v4.0 评分 6.9（中危），v3.1 评分 7.3，利用代码已公开。升级到 0.34.2 可修复。
HackMDHackMD · 安全研究者 hieuPenguinnn 披露，Rust 编写的 MCP 服务器 hyper-mcp 在从 OCI registry 加载 WebAssembly 插件时存在 TOCTOU 竞态，Cosign 签名校验可被绕过。load_wasm 把解析出的 manifest 摘要只用作缓存键，却将可变 tag 交给 cosign verify，并仅凭进程退出码判定成功，从不比对 Cosign 实际校验的摘要；默认身份策略还把 ident 设为通配，进一步放宽校验。该问题涉及两个 CVE。
VulnCheckVulnCheck · BotSharp 5.2.0 及之前版本存在鉴权绕过漏洞。据 VulnCheck 报道，未认证的远程攻击者可利用 WebStarter appsettings.json 中硬编码的 Jwt:Key 伪造 bearer token，冒充包括管理员在内的任意已知用户，访问受 Authorize 保护的 API 路由。攻击者使用已提交的 HMAC 密钥以及固定的 botsharp issuer 和 audience 即可签名令牌。
argoproj-labs 的 Argo CD MCP Server（argocd-mcp）0.9.0 及以前版本中，delete_application 工具不校验 applicationName，存在路径穿越问题。攻击者或被提示注入的模型可传入 ../repositories/ 这类路径段，借 MCP 的已认证令牌向其他 Argo CD API 发 DELETE，在令牌 RBAC 范围内删除仓库、集群或项目。NVD 已将其登记为 CVE。
NVD 发布 CVE-2026-108600，指出 open-multi-agent 的文件写入工具可借悬空符号链接把文件写到工作区之外。据 VulnCheck 的公告，受影响版本为 1.5.0 至 1.21.2。NVD 页面引用中列出了仓库内 file-write.ts 与 path-safety.ts 的相关代码位置，以及一份 HackMD 的漏洞分析。
NVD 收录 CVE-2026-108599，指向 phi 编码 Agent 的符号链接绕过工作区写入沙箱问题。记录链接到 pulseaiclub/phi 仓库中 internal/permission/gate.go 与 internal/tools/writetool/write.go 两处代码位置，并引用 VulnCheck 一份标题为 phi 0.1.1 至 0.28.4 符号链接工作区写入限制绕过的公告。
The Hacker NewsThe Hacker News · iVerify 披露 DarkSword iOS 漏洞利用套件的新变种 P7 DarkSword，新增设备端钥匙串与加密钱包数据窃取，并支持与攻击者基础设施的双向 C2 通信。该植入体注入 SpringBoard 进程，每 15 秒轮询命令，可执行系统命令、上传照片与 Apple Notes 数据，并针对 imToken 钱包提取数据。该套件此前被用于针对沙特阿拉伯、土耳其、马来西亚和乌克兰的攻击。
Tenable®Tenable® · Tenable披露Hermes Agent的GET /auth/native/authorize登录流程存在PKCE漏洞，可导致受害者账号会话被完全接管。该流程使用Python的urllib.parse.urlparse校验redirect_uri，却将未规范化的原始值交回浏览器；由于Python解析器与浏览器WHATWG解析器对反斜杠处理不同，服务器认为跳转目标是回环地址127.0.0.1，浏览器则会跳转到攻击者控制的目标。
GitHub 安全公告GitHub 安全公告 · GitHub 安全公告披露，PraisonAI 的 AICoder UI 组件向 LLM 暴露 write_to_file 和 execute_command 两个工具。前者缺少路径校验，os.path.join 无法阻止绝对路径，可写入 /root/.ssh/authorized_keys、/etc/crontab 等任意位置；后者没有命令清洗、白名单或沙箱。攻击者可通过聊天界面的提示注入触发这两项工具，导致任意文件写入与命令执行。
GitHub 安全公告GitHub 安全公告 · GitHub 安全公告指出，PraisonAI 4.6.63 的 MCP HTTP-stream 服务仅在配置 API key 时才鉴权，而 CLI 的 --api-key 默认为 None，因此执行 praisonai mcp serve --transport http-stream 后整个 MCP 接口处于未鉴权状态。无 Authorization 且无 Origin 头的请求可以完成 initialize 并拿到 mcp-session-id，进而暴露工具枚举与未校验的工具调用面。
GitHub 安全公告GitHub 安全公告 · LangChain 的 MongoDBChatMessageHistory 组件未在运行时强制校验会话标识符的字符串类型，结构化会话标识符可能被当作 MongoDB 查询条件而非字面标识符执行。当应用把不可信的会话标识符输入传给该组件、且在同一集合中存储多个用户的历史记录时，攻击者可读取、修改或删除其他用户存储的对话。该问题已在 @langchain/mongodb 1.3.1 版本修复，补丁在运行时校验会话标识符并确保其以字面值参与查询。
GitHub 安全公告GitHub 安全公告 · 2篇报道 · Pydantic AI 的开发用 Web 聊天 UI（Agent.to_web()、clai web）被披露存在两项安全问题。其一，聊天端点未校验请求内容类型，开发者访问的网站可向本机运行的聊天 UI 提交请求，使被服务的 Agent 运行并以本地进程的权限和凭据执行其工具；默认绑定 localhost 无法阻止，因为浏览器中打开的页面可以访问回环地址。其二，该 UI 未校验 Host 头，攻击者控制的域名解析到回环地址后，浏览器会将其视为同源，从而让 Agent 以本地进程权限运行并执行工具。影响范围包括通过 Agent.to_web() 或 clai web 提供 Agent 的应用和开发者，后果取决于 Agent 暴露的工具，可能包括数据泄露和意外的工具副作用。
GitHub 安全公告GitHub 安全公告 · 3篇报道 · Pydantic AI 的本地网页抓取工具 web_fetch_tool（也是 WebFetch 能力的本地回退）被披露存在多项问题。公告称，标题提取使用回溯正则匹配原始响应体，重复未闭合标签开头会让耗时随体积平方增长，该二次复杂度步骤运行在 event loop 上，可被引导抓取攻击者控制的页面，阻塞 event loop 数分钟，拖住进程内其他协程。远程内容下载路径在施加任何大小限制前会把整个 HTTP 响应体缓冲进内存，可被诱导抓取大体积 URL，耗尽进程内存并导致 worker 崩溃；FileUrl 媒体下载（ImageUrl、DocumentUrl、VideoUrl、AudioUrl）存在同样的无界缓冲问题。另有公告称，转换攻击者可控的 HTML 时会出现过高 CPU 和内存占用：嵌套块级元素会让 HTML 转 Markdown 逐层重复处理累积文本并使中间输出膨胀，响应体大小限制只约束下载字节数，返回内容限制在转换之后才生效；当前版本把转换放在工作线程中执行，仍可能消耗大量资源并拖慢同进程内其他任务，更早版本则在事件循环上执行转换。
