x402 支付 SDK 漏洞：缺失的安全公告记录

云安全联盟（CSA）2026 年 10 月 26 日发布研究笔记，跟进安全公司 V12 披露的 x402 Agent 支付 SDK 25 个漏洞，发现修复迅速但公开安全记录几乎空白。三个严重漏洞在报告后六天内合并修复，但仓库仅有的两条安全公告均与本次发现无关，GitHub Advisory Database 中 @x402/fetch 和 @x402/extensions 没有条目，Dependabot 和 npm audit 因此不会报警；支出上限修复以功能改动名义合并，另一起 SIWx 服务端授权绕过仅有第三方编号机构 VulnCheck 分配的 CVE-2026-113603，修复 PR 截至 10 月 26 日仍未合并。CSA 建议直接比对版本升级、搜索 spendControls: false，并用独立于 Agent 推理的价格预期取代通用上限。