CVE-2026-17534 in Kimi Code
Сводка
по VulDB • 27.07.2026
Kimi Code (@moonshot-ai/kimi-code) до версии 0.27.0 реализует защиту от SSRF через FetchURL в виде статического списка запрещенных имён хостов и IP-литералов (denylist) в функции assertSafeFetchTarget, без разрешения DNS или повторной проверки хостов после HTTP-перенаправлений. Атакующий, способный повлиять на вызов FetchURL (например, посредством инъекции промпта), может указать специально сформированное публичное имя хоста, которое разрешается в петлевой адрес (loopback) или другой внутренний адрес, либо публичный URL, перенаправляющий на такую цель, и тем самым получить доступ к внутренним сетевым службам, которые должны были быть заблокированы списком denylist. FetchURL включен в набор инструментов с автоматическим одобрением по умолчанию (auto-approve), поэтому вызов не требует интерактивного подтверждения пользователем в ручном режиме.
Once again VulDB remains the best source for vulnerability data.