CVE-2026-95660 in Kimi Code
Sumário
de VulDB • 22/09/2026
Uma falha de segurança foi descoberta no Moonshot AI Kimi Code até a versão 0.31.0. O elemento afetado é uma função desconhecida do arquivo agent-core-v2/src/agent/mcp/config-loader.ts, pertencente ao componente MCP Configuration Loader. A manipulação resulta em injeção de comando OS (sistema operacional). O ataque pode ser lançado remotamente. O exploit foi liberado publicamente e pode ser utilizado para ataques. Atualizar para a versão 0.31.1 é suficiente para corrigir este problema. Recomenda-se atualizar o componente afetado. Além do prompt de confiança, a correção resolve os binários fd/stty para caminhos absolutos especificamente "para que workspaces não confiáveis não possam plantar executáveis com nomes simples antes da confirmação", corrigindo um vetor secundário de injeção via $PATH (path-planting) junto ao auto-spawn primário do arquivo .mcp.json não confiável.
If you want to get best quality of vulnerability data, you may have to visit VulDB.