10 月的 18 個發佈包收錄了 146 條情報。Agent / MCP 的認證與隔離、網絡設備的管理與診斷入口、查詢與 URL 校驗、依賴安裝時執行的惡意載荷，是本月需要優先排查的四類問題。統計只計入 date 以 2026-10 開頭的簡體發佈包；覆蓋 10-30～11-01 的 11-01 範圍檔不計入本月，合併發佈範圍與統計口徑見文末。
Statistics
投毒佔 73 條；漏洞稿中有 71 條達到超危統計門檻。
CSSA 獨家預警 34 條，CVE 深度解讀 39 條；投毒 73 條，按 registry 字段拆分為 npm 62、PyPI 10、gem 1。超危僅統計非投毒條目中 Number(score) ≥ 9 的記錄。
只統計本月已發佈的簡體情報文件，每個發佈包計一次，有 range 的文件也只計一次；不跨發佈包去重。這些數字不是獨立漏洞或受害設備數。
Trending
缺認證的 MCP 與 Agent 入口、可繞過的審批、沙箱憑證泄露，都會直接變成遠程執行面。
openclaw 的 macOS 客户端在已配置白名單和人工確認時，仍會把未授權命令自動解析為允許一次。agentscope-java DataAgent 在未設置 DATAAGENT_JWT_SECRET 時回退到公開默認密鑰，令牌裏的角色聲明可直接偽造管理員。Kiro Crew（CVE-2026-112380） 的 WhatsApp 羣組通道在 0.7.2 前缺少授權，羣組成員發消息即可控制其他代理會話並在主機執行命令。
x64dbg-MCP Server（CVE-2026-107824） 默認監聽 0.0.0.0 且無認證，修復版本為 1.1。Google OSS Agent Mesh（CVE-2026-102503） 的 /libp2p-http 入口可繞過 Biscuit 能力檢查調用已註冊後端，修復到 0.1.0-alpha.3；同系列的 CVE-2026-103091 則因 OIDC 註冊默認放開，需升到 0.1.0-alpha.9。NVIDIA NeMo Agent Toolkit（CVE-2026-65145） 同樣是關鍵功能缺認證即可遠程執行。
隔離也要核對：OpenSandbox Go SDK 在代理模式下把租户 API Key 塞進可轉發頭部；網絡隔離組件 又會在 DNS 動態授權時放開全部端口。SGLang 在只配普通 API 密鑰時會把管理端點當成已授權；多模態加載器 可用本地路徑讀任意文件。ogx 的 MCP server_url 未做私網校驗，默認無認證即可 SSRF；ComfyUI 管理接口在非迴環監聽時可不經認證安裝自定義節點。
同月還有 AgentWorkforce Relay 通過 workflow_dispatch 引用不可信分支執行敏感工作流，open-lovable 的 API 缺授權且用全局沙箱狀態、dspy Local 默認綁 0.0.0.0、deep-searcher 未認證即可讀文件並改 Provider 配置、Appium Execute Driver 沙箱逃逸到宿主 child_process。
家用與企業網關、許可平台、消息中間件的管理與診斷入口，仍是本月最直接的接管路徑。
TOZED X300（CVE-2026-108576） 的 Host 參數可命令注入；TRENDnet TEW-751DR / 752DRU / 733GR（CVE-2026-108804） 的 pigwidgeon.cgi 同樣可遠程注入，日報建議停用已 EOL 型號。Linksys E1700（CVE-2026-108892） 與 Netcore NR268（CVE-2026-108907） 分別是 Mac Filter 棧溢出和 CGI 認證繞過，廠商早期均未回應。
Wavlink WL-WN592AX6（CVE-2026-109110） 的 wmapd 可遠程命令注入；WL-WN530BE2-A（CVE-2026-110957） 需升到固件 2026-09-24-841a51c6d5_tclinux.bin。Oray 蒲公英 X5 Pro（CVE-2026-116232） 的 SNMP info.community 存在 CRLF 注入；FireCluster Sync（CVE-2026-90465） 在集羣互聯網上缺認證，可以 root 調防火牆管理操作。
企業側入口同樣要收口：Cisco License On-Prem（CVE-2026-76482）、HPE（CVE-2026-79844） 與 CVE-2026-79847 均為超危遠程執行。Nacos 在認證插件缺失時靜默放行 @Secured 接口；RocketMQ ACL 遷移 把未知權限字符串默認成 Action.ALL；gost API 未配憑證時中間件失效，Websoft9 的代理 API 可未授權改反向代理規則。
表達式引擎、SQL 拼裝、代理轉發和 URL 主機校驗，決定攻擊是否落到內網或數據庫。
OpenTSDB 的 /api/query/exp 可把 JEXL 表達式打到 Runtime.exec；次日的 /q 圖表渲染 又能用雙重 URL 解碼把換行注入 gnuplot 腳本。eladmin 上傳的 .sql 文件被直接 batch 執行；YesWiki（CVE-2026-116207） 公共搜索 API 可注入反引號，修復版本為 4.7.0 / 5.0.0-alpha4；Futurum Software（CVE-2026-14571） 是盲注讀庫。
SSRF 側：Supabase Studio 的 edge-functions 測試接口缺認證，主機名校驗不足；InsForge 用 %2F%2F 雙斜槓繞過原始主機限制，還會轉發 Authorization。Coreruleset 對 LIKE (SELECT ...) 變體在 PL1 下可漏攔，日報建議升到 PL2 或更新規則庫。
身份與會話也要一起查：SOGo（CVE-2026-74864） 信任客户端可控的 x-webobjects-remote-user，需升到 5.8.0~ynh9 並在 Nginx 剝離該頭；gofr 空 BasicAuth 憑證仍可通過；ProxySQL 會話變量可泄漏到連接池其他客户端；CockroachDB 的 SECURITY DEFINER 對複合類型授權檢查失效。
npm 佔 62 條；惡意行為集中在 postinstall、仿冒 Baileys 會話副作用，以及 PyPI / gem 的竊密與反彈 Shell。
安裝階段直接動手的包包括 ultimate-websocket（postinstall 從非 registry 的 GitHub URL 拉代碼）、@sudobility/wildduck_client（postinstall 從 S3 取載荷，可裝持久化 agent 或 XMRig）和 @walknpm/todo-cli（postinstall 挖礦並持久化）。serpacksven、serpacksven2 與 node-telegram-sockets 被標為安裝即失陷，需要從可信設備輪換密鑰。
仿冒 Baileys / WhatsApp 鏈路反覆出現：kiyoramarkets、ichigo-baileys、rubbydev-crash-baileys 會利用已認證會話把賬號訂到攻擊者頻道；@kxafunc/xbails 則把 libsignal 別名指到可變 latest，可進入端到端加密路徑。tailwind-*、css-* 一類外觀工具包名也多次出現，例如 tailwind-base-buttons 與 tailwindcss-theme-kit。
PyPI 的 sysdiagd 偽裝系統監控，實際是 Discord bot 竊密；iterquarry 與 libseal 配合解密執行；shellgrip 充當遠程腳本 loader；claudeopuseni 從圖片隱寫取代碼，再連到 Polygon 鏈上解析出的 C2。gem 的 zzhelloworld_socktest 被記錄為與 66.78.40.218:32768 通信並建立反向 Shell。
Deep Dive
處置順序要結合暴露面、執行權限和依賴觸發方式。
73 條投毒中，npm 62 條、PyPI 10 條、gem 1 條。這是本月發佈包的觀測分佈，不能據此判斷其他生態更安全。
openclaw 的審批結果在客户端被改寫，agentscope-java 的默認 JWT 密鑰可偽造管理員，Agent Mesh 的入口與註冊策略默認放開。執行端、令牌校驗和網格策略都需要獨立核驗。
FireCluster 需要位於集羣互聯網絡，Kiro Crew 需要 WhatsApp 羣組成員身份，TRENDnet 條目對應 EOL 固件。評分以外，還要確認組件版本、功能是否開啓和入口可達性。
Summary
先核對受影響組件與運行配置，再安排修復和取證。
0.1.0-alpha.3（CVE-2026-102503）與 0.1.0-alpha.9（CVE-2026-103091）；Kiro Crew 升到 0.7.2 或更高。server_url 套用私網拒絕。5.8.0~ynh9 並剝離 x-webobjects-remote-user。ultimate-websocket、@sudobility/wildduck_client、@walknpm/todo-cli、kiyoramarkets、ichigo-baileys、@kxafunc/xbails，核對來源和版本釘死情況。sysdiagd、iterquarry/libseal、shellgrip、claudeopuseni 的安裝或導入記錄，以及 gem zzhelloworld_socktest。serpacksven、serpacksven2、node-telegram-sockets 等被標為失陷的包，隔離取證並從可信設備輪換憑證；移除包不等於清除入侵。claudeopuseni 的鏈上 C2 納入排查，同時檢查 postinstall 子進程與殘留。workflow_dispatch 固定可信引用與工件摘要；限制 deep-searcher 的文件路徑和 Provider 變更接口。66.78.40.218:32768）和 Discord / 鏈上 C2 外聯。覆蓋説明：10 月 01、02、03、04、05、06、10、16、17、23、24、30、31 日無獨立簡體日報；10-07 發佈包註明範圍為 10-01 至 10-07，10-11 發佈包註明範圍為 10-10 至 10-11，10-18 發佈包註明範圍為 10-16 至 10-18，10-25 發佈包註明範圍為 10-23 至 10-25。覆蓋 10-30 至 11-01 的條目發佈在 2026-11-01 範圍檔中，date 字段不以 2026-10 開頭，不計入本月統計。其餘無獨立日報日期不補計，也不代表當天沒有安全事件。
發佈方：清源社區 CleanSource Community ｜ 發佈日期：2026-11-03
數據來源：倉庫內 2026 年 10 月已發佈的簡體 CSSA、CVE 與開源倉庫投毒情報 ｜ 轉載請註明出處
商務合作
微信公眾號