CVE-2026-17534 in Kimi Code
Zusammenfassung
von VulDB • 27.07.2026
Kimi Code (@moonshot-ai/kimi-code) vor Version 0.27.0 implementiert die SSRF-Härtung für FetchURL als statische Denylist von Hostnamen und IP-Literalen in `assertSafeFetchTarget`, ohne DNS-Auflösung oder erneute Validierung der Hosts nach HTTP-Umleitungen durchzuführen. Ein Angreifer, der einen FetchURL-Aufruf beeinflussen kann (z. B. über Prompt-Injection), kann einen konstruierten öffentlichen Hostnamen angeben, der auf eine Loopback-Adresse oder eine andere interne Adresse auflöst, bzw. eine öffentliche URL, die zu einem solchen Ziel umleitet, und dadurch interne Netzwerkdienste erreichen, die von der Denylist eigentlich blockiert werden sollten. FetchURL ist im Standard-Satz der automatisch genehmigten Tools enthalten, sodass der Aufruf im manuellen Modus keine interaktive Benutzerbestätigung erfordert.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.