本週觀察

AI 摘要Pillow 的 libtiff 編碼器處理特製 TIFF 標籤時，可能洩漏記憶體內容或當機。

AI 摘要Storybook 預覽未驗證來源，惡意網站可能注入程式碼，影響使用 Storybook 的開發者。

AI 摘要OpenStack Manila 允許跨專案修改共享的公開設定與匯出中繼資料。

AI 摘要sharp 0.35.4 前版本內含有漏洞的 libheif，處理不受信任的 AVIF/HEIF 圖片可能遭遠端執行程式碼。

AI 摘要uv 0.11.15 前版本安裝惡意 wheel 時，入口點名稱可讓檔案寫到 scripts 目錄外。

AI 摘要Vibe-Trading 0.1.7 前版本若未設定 API_AUTH_KEY，API 完全不需驗證，可能導致以 root 執行指令。

AI 摘要Vibe-Trading 0.1.7 前版本遭間接提示注入時，AI 代理會把模型產生的指令以 root 執行。

AI 摘要Vibe-Trading 0.1.7 前版本的 AI 代理檔案讀取工具缺少沙箱，可被誘導讀取伺服器敏感檔案。

AI 摘要Trigger.dev CLI 的 MCP 伺服器未驗證且對外開放，區網或惡意網頁可呼叫工具。

AI 摘要vLLM 0.31.0 前版本在啟用 trust_remote_code 時，請求者可指定載入的模型處理器程式碼版本。

AI 摘要uv 0.8.22 前版本解壓 sdist 時，惡意套件可透過符號連結把檔案寫到安裝目錄外。

AI 摘要Oracle WebLogic Server 核心有漏洞，未驗證者可經 HTTP 入侵，多個版本受影響。

AI 摘要djust 的 MCP 工具 find_handlers_for_template 可讀取任意絕對路徑檔案，影響多個版本。

AI 摘要Helidon 4.0.0–4.5.5 的 microprofile 安全模組有漏洞，未驗證攻擊者可經 HTTP 入侵。

AI 摘要@fastify/middie 9.0.0–9.3.5 的路徑範圍中介軟體可能與實際路由不一致，導致中介軟體被略過

AI 摘要Kiro Crew 的 WhatsApp 群組頻道缺少授權檢查，群組成員可操控其他代理工作階段並在主機執行命令。

AI 摘要MCP TypeScript SDK 伺服器的 Bearer 驗證會接受發給其他服務的權杖，可能被冒用存取。

AI 摘要uv 內建的 CA 憑證庫信任一個中繼金鑰已外洩的 emSign 根憑證，可能影響 HTTPS 連線的信任。

AI 摘要Python 常用憑證套件 certifi 發布重大更新，移除 emSign 根憑證，使用者應更新。

AI 摘要Argo CD 啟用 kustomize 的 --enable-helm 時，儲存庫可控制 Helm 設定目錄，請升級

AI 摘要Argo CD 的 Kustomize 未隔離遠端網址參數就傳給 git fetch，可能遭參數注入，請升級

AI 摘要MCP TypeScript SDK 的實驗性 tasks 未綁定建立它的工作階段，可能被其他工作階段存取。

AI 摘要MCP TypeScript 客戶端 SDK 跟隨跨網域重導時會重送自訂標頭與請求內容。

AI 摘要Argo CD repo-server 處理 Jsonnet 時，import 可讀取儲存庫以外的路徑，請升級至修補版本。

AI 摘要follow-redirects 1.16.0 重新導向時移除憑證標頭的處理有缺陷，請升級 1.16.1。

AI 摘要Google ADK TypeScript 0.4.0 至 0.6.0 前，artifact 儲存有路徑穿越可讀寫外部檔案。

AI 摘要light-4j 2.1.5 至 2.4.0 前，LDAP/AD 使用者可用空密碼繞過 Basic 驗證。

AI 摘要A2A Java SDK 1.3.0.Final 前，惡意遠端代理可使客戶端將 API 金鑰轉送給第三方。

AI 摘要Apache Tomcat 大量非阻塞寫入可能使回應混入下一個請求，導致資料外洩。

AI 摘要Tomcat 處理 HTTP/2 非同步 servlet 時物件重用錯誤，可能造成不同使用者的請求或回應互換。

AI 摘要Apache Tomcat 的 JNDI Realm 若使用非 GSSAPI 的 SASL 機制，攻擊者可不需正確密碼即通過驗證。

AI 摘要MCP伺服器mcp-ripgrep 0.4.0及更早版本的fileType參數存在作業系統命令注入。

AI 摘要Signal 使用的 RingRTC 函式庫 2.72.0 之前版本中，通話對方可灌爆佇列，使本機掛斷後通話與音訊可能無法關閉。

AI 摘要Letta 0.16.8 以前預設部署未啟用驗證，遠端可執行任意 Python。

AI 摘要DB-GPT 預設 docker-compose 使用固定 MySQL root 密碼並對外開放 3306 埠。

AI 摘要DB-GPT 0.8.2 以前的 ReAct 代理端點不需驗證，任何人可透過提示讓代理執行程式碼。

AI 摘要EvoScientist 0.2.5 前，網頁內容中的指令可繞過核准，經子代理執行指令。

AI 摘要Aix-DB 1.2.4 已登入一般使用者可經由聊天或文件讓代理執行系統指令。

AI 摘要Langchain-Chatchat 0.3.1.3 以前可未驗證呼叫內建 shell 工具執行系統指令。

AI 摘要JoySafeter 1.0.0 以前，自行註冊的使用者可讓 Copilot 執行系統指令。

AI 摘要piflow 2.0.0–2.0.1 聊天代理無驗證，可被指示執行任意系統指令。

AI 摘要LangAlpha 代理讀取的網頁內容若藏有指令，可導致執行 shell 或 Python。

AI 摘要Plex Media Server 的 /player/timeline 有 SSRF，可迫使伺服器向任意目的地發送 POST

AI 摘要Plex Media Server 已驗證使用者可透過轉碼路徑讓伺服器請求任意內外部位址（SSRF）

AI 摘要Siemens Software Center 所有版本會從不受控路徑載入 DLL，本機已驗證攻擊者可藉此執行程式

AI 摘要SiteGuard Server Edition 有作業系統指令注入漏洞，可能以 root/SYSTEM 權限執行指令

AI 摘要Plex Media Server 的 searchOne 未正確處理網址，可呼叫其他外掛功能，已被用於攻擊鏈

AI 摘要Plex Media Server 1.43.3.10861 之前版本，管理員可寫入任意檔案並在載入時執行，已遭利用

AI 摘要MLflow 3.17.1 及更早版本，FileStore 後端可被未驗證者以特製 trace ID 路徑穿越。

AI 摘要Cognition 0.13.0 前，代理沙箱預設在本機執行且 API 無驗證，可遭遠端執行程式碼。

AI 摘要Rank Math SEO PRO 3.0.123於特定時段下載或更新的部分套件遭植入惡意程式，可能危及網站。

AI 摘要aiohttp 3.14.4 前處理 multipart 請求可能保留大量檔案描述符，未驗證攻擊者可造成服務中斷。

AI 摘要Envoy AI Gateway的MCP工作階段恢復未驗證身分，預設Helm種子使工作階段ID可被偽造。

AI 摘要crewai-tools 1.15.28以前的SeleniumScrapingTool缺少內網位址檢查，提示注入可致SSRF。

AI 摘要docTR 1.1.0以前載入模型檢查點未限制weights_only，載入惡意檢查點可執行任意程式碼。

AI 摘要Apache Camel 的 camel-hazelcast 元件有不安全反序列化問題，影響 4.0.0 到 4.22.0，請升級到 4.18.5 或 4.22.1。

AI 摘要Apache Johnzon 2.2.0 前版本會依不可信 JSON 載入並初始化指定類別，請升級

AI 摘要Apache Answer 表情回應 API 可繞過受限內容的授權。

AI 摘要Apache Answer 的 MCP 回答查詢可能洩漏非公開問題的內容。

AI 摘要ESPnet 至 202610.post2 的推論模型處理元件可經 _target_ 參數觸發不安全反序列化，影響載入模型者。

AI 摘要Llama-Chinese 範例腳本可經 base_model_name_or_path 參數動態載入模組程式碼，影響使用該範例者。

AI 摘要Google OSS Agent Mesh (SAM) 的 MCP 代理與 OIDC 註冊缺少授權且預設不安全，影響 0.1.0 alpha 版。

AI 摘要YOLOv9 0.1 載入 ONNX 模型時，中繼資料的 names/stride 可導致程式碼注入，切勿載入不可信模型。

AI 摘要Omnigent 0.3.0 至 0.14.0 前版本，已驗證使用者可透過子代理工作目錄設定逃出工作區。

AI 摘要WordPress 外掛 LearnPress 4.4.10 以前，結帳流程的 checkout-email 參數會反序列化不可信資料，導致 PHP 物件注入。

AI 摘要Text::CSV_XS 1.46–1.64 同時用 bind_columns 與 skip_empty_rows 時有釋放後使用問題。

AI 摘要Claude Agent SDK 0.2.121 前 resume 參數未驗證，可被注入 MCP 設定而執行指令。

AI 摘要Apache Kylin 的 Metastore 清理功能不需驗證即可呼叫。

AI 摘要Apache Kylin 的中繼資料廣播在內部網路中不需驗證即可觸發。

AI 摘要LangChat 缺少驗證攔截器，未驗證者可讀取明文密碼與 LLM 供應商 API 金鑰。

AI 摘要FreeRTOS-Plus-TCP V4.4.2 前未驗證 IPv6 路由通告來源，可能被竄改預設閘道與位址設定。

AI 摘要DeepSeek Harness（dsh）的上下文壓縮功能可被惡意外部內容進行提示注入攻擊。

AI 摘要Z.ai ZCode 開啟專案時會自動連線設定檔中宣告的 MCP 伺服器，惡意儲存庫可能藉此執行任意程式碼。

AI 摘要Apache Kylin 部分快取 API 端點缺少驗證。

AI 摘要Apache Kylin 處理 Redis 資料時有不安全的 Java 反序列化問題。

AI 摘要Apache Kylin 系統中繼資料匯出缺少授權檢查與路徑限制。

AI 摘要SGLang 0.5.10–0.5.22 未驗證的 /dumper/configure 端點可被遠端注入並執行 Python 程式碼

AI 摘要WordPress 外掛 WSP MCP AI Agents Connector 的 MCP 工具缺權限檢查，可能洩漏敏感資訊。

AI 摘要Nezha 2.1.0 至 2.3.15 前的 MCP 傳輸工具信任 Host 標頭，檔案上傳可能被導向他處。

AI 摘要BeyondTrust Remote Support 內部元件未驗證訊息來源，特定條件下可能在設備上執行檔案操作。

AI 摘要Fortinet FortiOS、FortiPAM 等多個版本有路徑穿越漏洞，已遭實際利用並被用來植入惡意程式。

AI 摘要Apache Airflow SSH provider 預設不驗證主機金鑰，未設定 host_key 的 SSH/SFTP 連線可能遭中間人攻擊。

AI 摘要Archon 0.2.13–0.11.1 控制 API 無驗證且預設對外開放，可網路連線者能指揮以略過權限模式執行的 AI 程式代理執行指令。

AI 摘要Chrome 155.0.8059.84 前版本可能經惡意網頁在沙箱外執行程式碼，請更新瀏覽器。

AI 摘要runwasi 0.6.1 前的 wasmtime shim 可能把映像層中的預編譯資料當作可信原生碼載入執行。

AI 摘要undici 及 Node.js 內建的 WebSocket 用戶端可被惡意伺服器耗盡記憶體。

AI 摘要undici 多個版本的 EventSource 用戶端可被惡意 SSE 伺服器耗盡記憶體。

AI 摘要Node.js undici 多個版本的 fetch() 遇到惡意伺服器特製回應時會讓整個程序當機。

AI 摘要undici 7.x/8.x 同時使用重新導向與快取攔截器且共用快取時，快取鍵可能錯誤。

AI 摘要undici 多個版本的 Agent 以 JSON 複製選項，導致函式類設定被丟棄未傳給連線池。

AI 摘要Python 函式庫 joserfc 1.7.4 前會把沒有任何簽章的 JWS JSON 視為已驗證，請升級。

AI 摘要JetBrains TeamCity 舊版建置訊息協定白名單可被繞過，導致遠端程式碼執行，請升級。

AI 摘要JetBrains Junie CLI 26.8.3 之前，開啟不可信專案的 MCP 伺服器設定可導致程式碼執行。

AI 摘要Linux 核心 IPv4 未驗證 checksum_start，錯誤的封包中繼資料可能破壞網路標頭。