DeepSweep 安全公告 DS-2026-001：@deepsweepai/mcp-firewall 存在十项安全问题，直接退役不再修复

DeepSweep 发布安全公告 DS-2026-001，宣布其 npm 包 @deepsweepai/mcp-firewall 因十项安全问题直接退役，不会提供修复版本。该包唯一发布的版本 0.1.0 受影响，最高严重度为 High（CVSS 3.1 7.5）。三项 High 问题包括调用方身份取自未经校验的请求头 X-Client-ID、LangChain、CrewAI 和 AutoGen 包装路径在拦截后仍继续执行，以及凭据检测漏掉云密钥等格式。公告建议使用方移除该包，移除前检查 ./logs/ 下以 apiKey 命名字段记录的凭据并轮换密钥。研究者 Vasanthadithya M 私下报告了这些问题。