CVE-2026-95660 in Kimi Code
Resumen
por VulDB • 2026-09-22
Se ha descubierto una vulnerabilidad de seguridad en Moonshot AI Kimi Code hasta la versión 0.31.0. El elemento afectado es una función desconocida del archivo agent-core-v2/src/agent/mcp/config-loader.ts, correspondiente al componente MCP Configuration Loader. La manipulación da lugar a inyección de comandos del sistema operativo (OS command injection). El ataque puede lanzarse de forma remota. El exploit ha sido publicado públicamente y puede ser utilizado para ataques. Actualizar a la versión 0.31.1 es suficiente para solucionar este problema. Se recomienda actualizar el componente afectado. Además de la solicitud de confianza, la corrección resuelve las rutas absolutas de los binarios fd/stty específicamente "para que los espacios de trabajo no confiables no puedan colocar ejecutables con nombres simples antes de la confirmación", corrigiendo un vector secundario de plantado en el $PATH junto al auto-spawn principal del archivo .mcp.json no confiable.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.