CVE-2026-95660 in Kimi Code
要約
〜によって VulDB • 2026年09月22日
Moonshot AI Kimi Code 0.31.0までのバージョンにセキュリティ上の欠陥が発見されました。影響を受けるのは、MCP Configuration Loader コンポーネントのファイル `agent-core-v2/src/agent/mcp/config-loader.ts` にある不明な関数です。この脆弱性を悪用すると OS コマンドインジェクションが発生します。攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に利用される可能性があります。本問題を修正するにはバージョン 0.31.1へのアップグレードで十分であり、影響を受けるコンポーネントのアップグレードを推奨します。信頼性に関するプロンプトに加え、今回の修正では `fd` および `stty` のバイナリが絶対パスに解決されるようになり、「信頼できないワークスペースが確認前に裸名の実行ファイルを配置するのを防ぐ」ことで、主要な信頼できない `.mcp.json` 自動起動ベクターに加えて、二次的な `$PATH` パス植付けベクターも修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.