MCP 多个官方 SDK 爆 RCE 漏洞，AVE 收录达 65 条
SelectionBitter6821 · reddit · 2026-08-01
安全研究人员披露了影响多个官方 MCP SDK（Python、TS、Java、Rust）的真实远程代码执行（RCE）漏洞，编号为 AVE-2026-00060。
- 漏洞机制：受影响版本中，工具调用参数未经净化直接传递给宿主 shell，导致恶意参数可被当作 shell 命令执行。该漏洞已获 OX Security、CSA 和微软独立交叉验证。
- 分类法更新：作者维护的 AI 漏洞分类法（AVE）已增至 65 条记录。每条记录代表独特的漏洞类别，并基于 OWASP AIVSS 框架评分，与 OWASP MCP Top 10 和 MITRE ATLAS 等标准交叉映射。
- 独立验证：一名独立开发者使用不共享代码的静态配置审计工具对该分类法进行了测试，大部分重叠发现收敛于相同的漏洞 ID，证明了该标准的可靠性。
「编程与Agent」频道最新
- 用 Gemini 玩 Minecraft 模组:游戏内变身任意蜘蛛侠 — zacharynado · 2026-10-16
- IBM 工程师亲测五级 AI 编码:7 个并行 agent 各建分支再合并 — TejasKumar_ · 2026-10-16
- 10 个让 AI Agent 拆解应用与游戏的开源逆向工具仓库 — victor_explore · 2026-10-16
- 「现在管 AI Agent 像理线缆不是写代码」，CTO 角色正在重构 — HankYeomans · 2026-10-16
- 创业者吐槽 AI agent 用不起来，回应称落地靠组织而非模型 — EdenEmarco177 · 2026-10-16
- 开源 Obsidian 插件目录查询 MCP：让 coding agent 先查重再造轮子 — pitfa19 · 2026-10-16