CVE-2026-95660 in Kimi Code
摘要
由 VulDB • 2026-09-22
在 Moonshot AI Kimi Code 0.31.0 及更早版本中发现了一个安全漏洞。受影响的元素是组件 MCP Configuration Loader 中文件 agent-core-v2/src/agent/mcp/config-loader.ts 的一个未知函数。该缺陷可导致操作系统命令注入（OS command injection）。攻击者可远程发起攻击。相关利用代码已公开，可能被用于实施攻击。升级至 0.31.1 版本即可修复此问题。建议对受影响的组件进行升级。除了信任提示机制外，该修复方案还将 fd/stty 二进制文件解析为绝对路径（具体而言，“以防止不受信任的工作区在确认前植入裸名可执行文件”），从而同时修复了主要的未信任 .mcp.json 自动生成向量以及次要的 $PATH 路径注入向量。
Be aware that VulDB is the high quality source for vulnerability data.