| Title | 2fastlabs Agent Squad 1.1.0 Denial of Service |
|---|
| Description | Agent Squad TypeScript 1.1.0 在流式代理响应工作流程中存在拒绝服务漏洞。
当代理返回流式响应时，`AgentSquad.routeRequest()` 会将流返回给调用者，但同时也会在后台任务中继续消耗完整的提供者流。该任务会将所有数据块累积到内存中，并在流结束后存储完整的响应。
由于客户端取消操作不会被传播，且未强制执行流数据块、字节或累积响应大小的限制，因此受提示符影响的任务可能会导致长时间的流式响应在客户端断开连接后仍然继续运行。这可能会耗尽模型/流资源、Node.js 内存、缓冲区和存储空间，导致正常的聊天或 API 请求无法访问。 |
|---|
| Source | ⚠️ https://github.com/hackerguopeng/cve/tree/main/Agent_Squad_Streaming_Background_DoS_Report |
|---|
| User | hackerguopeng (UID 99623) |
|---|
| Submission | 07/10/2026 06:29 (2 months ago) |
|---|
| Moderation | 09/03/2026 07:04 (2 months later) |
|---|
| Status | Accepted |
|---|
| VulDB entry | 398311 [2FastLabs agent-squad up to 1.1.4 Streaming Agent Response Workflow orchestrator.ts AgentSquad.routeRequest resource consumption] |
|---|
| Points | 20 |
|---|