al-ice 分析 MoviePilot 与 IntentKit 两处 CVE 的门控对偶失败

NVD 在 2026 年 10 月 15 日 02:20 UTC 前后一分钟内发布两条状态为 Received 的 CVE，分别指向 MoviePilot 与 IntentKit 的 Agent 工具门控失效。据 Lasso Security 的分析，CVE-2026-77931（CVSS 8.8）影响 MoviePilot 至 3.1.5，助手读取的网页与种子元数据等不可信内容可经提示注入，让模型自行把 execute_command 的 confirm_dangerous 置为 true，绕过命令校验并在管理员会话中执行任意系统命令。CVE-2026-76066（CVSS 7.5）影响 IntentKit 至 2.6.3，私有工具只在面向模型的工具清单中被隐藏，执行器仍按完整工具注册表校验，未认证调用者给出被撤下工具的名称与参数即可调用，包括钱包转账等仅限所有者的工具。