10 月的 18 个发布包收录了 146 条情报。Agent / MCP 的认证与隔离、网络设备的管理与诊断入口、查询与 URL 校验、依赖安装时执行的恶意载荷，是本月需要优先排查的四类问题。统计只计入 date 以 2026-10 开头的简体发布包；覆盖 10-30～11-01 的 11-01 范围档不计入本月，合并发布范围与统计口径见文末。
Statistics
投毒占 73 条；漏洞稿中有 71 条达到超危统计门槛。
CSSA 独家预警 34 条，CVE 深度解读 39 条；投毒 73 条，按 registry 字段拆分为 npm 62、PyPI 10、gem 1。超危仅统计非投毒条目中 Number(score) ≥ 9 的记录。
只统计本月已发布的简体情报文件，每个发布包计一次，有 range 的文件也只计一次；不跨发布包去重。这些数字不是独立漏洞或受害设备数。
Trending
缺认证的 MCP 与 Agent 入口、可绕过的审批、沙箱凭证泄露，都会直接变成远程执行面。
openclaw 的 macOS 客户端在已配置白名单和人工确认时，仍会把未授权命令自动解析为允许一次。agentscope-java DataAgent 在未设置 DATAAGENT_JWT_SECRET 时回退到公开默认密钥，令牌里的角色声明可直接伪造管理员。Kiro Crew（CVE-2026-112380） 的 WhatsApp 群组通道在 0.7.2 前缺少授权，群组成员发消息即可控制其他代理会话并在主机执行命令。
x64dbg-MCP Server（CVE-2026-107824） 默认监听 0.0.0.0 且无认证，修复版本为 1.1。Google OSS Agent Mesh（CVE-2026-102503） 的 /libp2p-http 入口可绕过 Biscuit 能力检查调用已注册后端，修复到 0.1.0-alpha.3；同系列的 CVE-2026-103091 则因 OIDC 注册默认放开，需升到 0.1.0-alpha.9。NVIDIA NeMo Agent Toolkit（CVE-2026-65145） 同样是关键功能缺认证即可远程执行。
隔离也要核对：OpenSandbox Go SDK 在代理模式下把租户 API Key 塞进可转发头部；网络隔离组件 又会在 DNS 动态授权时放开全部端口。SGLang 在只配普通 API 密钥时会把管理端点当成已授权；多模态加载器 可用本地路径读任意文件。ogx 的 MCP server_url 未做私网校验，默认无认证即可 SSRF；ComfyUI 管理接口在非回环监听时可不经认证安装自定义节点。
同月还有 AgentWorkforce Relay 通过 workflow_dispatch 引用不可信分支执行敏感工作流，open-lovable 的 API 缺授权且用全局沙箱状态、dspy Local 默认绑 0.0.0.0、deep-searcher 未认证即可读文件并改 Provider 配置、Appium Execute Driver 沙箱逃逸到宿主 child_process。
家用与企业网关、许可平台、消息中间件的管理与诊断入口，仍是本月最直接的接管路径。
TOZED X300（CVE-2026-108576） 的 Host 参数可命令注入；TRENDnet TEW-751DR / 752DRU / 733GR（CVE-2026-108804） 的 pigwidgeon.cgi 同样可远程注入，日报建议停用已 EOL 型号。Linksys E1700（CVE-2026-108892） 与 Netcore NR268（CVE-2026-108907） 分别是 Mac Filter 栈溢出和 CGI 认证绕过，厂商早期均未回应。
Wavlink WL-WN592AX6（CVE-2026-109110） 的 wmapd 可远程命令注入；WL-WN530BE2-A（CVE-2026-110957） 需升到固件 2026-09-24-841a51c6d5_tclinux.bin。Oray 蒲公英 X5 Pro（CVE-2026-116232） 的 SNMP info.community 存在 CRLF 注入；FireCluster Sync（CVE-2026-90465） 在集群互联网上缺认证，可以 root 调防火墙管理操作。
企业侧入口同样要收口：Cisco License On-Prem（CVE-2026-76482）、HPE（CVE-2026-79844） 与 CVE-2026-79847 均为超危远程执行。Nacos 在认证插件缺失时静默放行 @Secured 接口；RocketMQ ACL 迁移 把未知权限字符串默认成 Action.ALL；gost API 未配凭证时中间件失效，Websoft9 的代理 API 可未授权改反向代理规则。
表达式引擎、SQL 拼装、代理转发和 URL 主机校验，决定攻击是否落到内网或数据库。
OpenTSDB 的 /api/query/exp 可把 JEXL 表达式打到 Runtime.exec；次日的 /q 图表渲染 又能用双重 URL 解码把换行注入 gnuplot 脚本。eladmin 上传的 .sql 文件被直接 batch 执行；YesWiki（CVE-2026-116207） 公共搜索 API 可注入反引号，修复版本为 4.7.0 / 5.0.0-alpha4；Futurum Software（CVE-2026-14571） 是盲注读库。
SSRF 侧：Supabase Studio 的 edge-functions 测试接口缺认证，主机名校验不足；InsForge 用 %2F%2F 双斜杠绕过原始主机限制，还会转发 Authorization。Coreruleset 对 LIKE (SELECT ...) 变体在 PL1 下可漏拦，日报建议升到 PL2 或更新规则库。
身份与会话也要一起查：SOGo（CVE-2026-74864） 信任客户端可控的 x-webobjects-remote-user，需升到 5.8.0~ynh9 并在 Nginx 剥离该头；gofr 空 BasicAuth 凭证仍可通过；ProxySQL 会话变量可泄漏到连接池其他客户端；CockroachDB 的 SECURITY DEFINER 对复合类型授权检查失效。
npm 占 62 条；恶意行为集中在 postinstall、仿冒 Baileys 会话副作用，以及 PyPI / gem 的窃密与反弹 Shell。
安装阶段直接动手的包包括 ultimate-websocket（postinstall 从非 registry 的 GitHub URL 拉代码）、@sudobility/wildduck_client（postinstall 从 S3 取载荷，可装持久化 agent 或 XMRig）和 @walknpm/todo-cli（postinstall 挖矿并持久化）。serpacksven、serpacksven2 与 node-telegram-sockets 被标为安装即失陷，需要从可信设备轮换密钥。
仿冒 Baileys / WhatsApp 链路反复出现：kiyoramarkets、ichigo-baileys、rubbydev-crash-baileys 会利用已认证会话把账号订到攻击者频道；@kxafunc/xbails 则把 libsignal 别名指到可变 latest，可进入端到端加密路径。tailwind-*、css-* 一类外观工具包名也多次出现，例如 tailwind-base-buttons 与 tailwindcss-theme-kit。
PyPI 的 sysdiagd 伪装系统监控，实际是 Discord bot 窃密；iterquarry 与 libseal 配合解密执行；shellgrip 充当远程脚本 loader；claudeopuseni 从图片隐写取代码，再连到 Polygon 链上解析出的 C2。gem 的 zzhelloworld_socktest 被记录为与 66.78.40.218:32768 通信并建立反向 Shell。
Deep Dive
处置顺序要结合暴露面、执行权限和依赖触发方式。
73 条投毒中，npm 62 条、PyPI 10 条、gem 1 条。这是本月发布包的观测分布，不能据此判断其他生态更安全。
openclaw 的审批结果在客户端被改写，agentscope-java 的默认 JWT 密钥可伪造管理员，Agent Mesh 的入口与注册策略默认放开。执行端、令牌校验和网格策略都需要独立核验。
FireCluster 需要位于集群互联网络，Kiro Crew 需要 WhatsApp 群组成员身份，TRENDnet 条目对应 EOL 固件。评分以外，还要确认组件版本、功能是否开启和入口可达性。
Summary
先核对受影响组件与运行配置，再安排修复和取证。
0.1.0-alpha.3（CVE-2026-102503）与 0.1.0-alpha.9（CVE-2026-103091）；Kiro Crew 升到 0.7.2 或更高。server_url 套用私网拒绝。5.8.0~ynh9 并剥离 x-webobjects-remote-user。ultimate-websocket、@sudobility/wildduck_client、@walknpm/todo-cli、kiyoramarkets、ichigo-baileys、@kxafunc/xbails，核对来源和版本钉死情况。sysdiagd、iterquarry/libseal、shellgrip、claudeopuseni 的安装或导入记录，以及 gem zzhelloworld_socktest。serpacksven、serpacksven2、node-telegram-sockets 等被标为失陷的包，隔离取证并从可信设备轮换凭证；移除包不等于清除入侵。claudeopuseni 的链上 C2 纳入排查，同时检查 postinstall 子进程与残留。workflow_dispatch 固定可信引用与工件摘要；限制 deep-searcher 的文件路径和 Provider 变更接口。66.78.40.218:32768）和 Discord / 链上 C2 外联。覆盖说明：10 月 01、02、03、04、05、06、10、16、17、23、24、30、31 日无独立简体日报；10-07 发布包注明范围为 10-01 至 10-07，10-11 发布包注明范围为 10-10 至 10-11，10-18 发布包注明范围为 10-16 至 10-18，10-25 发布包注明范围为 10-23 至 10-25。覆盖 10-30 至 11-01 的条目发布在 2026-11-01 范围档中，date 字段不以 2026-10 开头，不计入本月统计。其余无独立日报日期不补计，也不代表当天没有安全事件。
发布方：清源社区 CleanSource Community ｜ 发布日期：2026-11-03
数据来源：仓库内 2026 年 10 月已发布的简体 CSSA、CVE 与开源仓库投毒情报 ｜ 转载请注明出处
商务合作
微信公众号