讯飞（iFlytek）开源的智能体工作流平台 Astron Agent 被披露存在一个严重漏洞，编号 CVE-2026-108263，CVSS 3.1 基础评分 9.9。问题的核心是默认工作流「代码节点」调用了未加沙箱的本地执行器，租户提交的 Python 代码会以 root 身份运行在共享的 core-workflow 容器中。攻击者借此可读取或篡改其他租户数据、取用共享的服务与数据库凭据，跨租户远程代码执行由此成立。
事件概述
Astron Agent 是面向智能体编排的工作流平台，用户通过拖拽「代码节点」等方式组合各类模块，由平台负责执行。该漏洞由 GitHub 安全公告（GHSA-mh3w-4q3f-2fg5）于 2026 年 10 月 9 日公开，影响 1.1.2 之前的全部版本，修复版本为 1.1.2。值得注意的是，1.1.2 早在 2026 年 9 月 7 日就已经发布，但 CVE 编号直到 10 月 9 日才分配，中间留下约 32 天的窗口期——在这段时间里，扫描器无编号可匹配，运维也难以从漏洞库中获知风险。
技术细节
问题根因在于执行器选择逻辑。代码节点在解析执行器时使用如下判断：当没有为节点单独配置 E2B 沙箱与服务密钥时，回落到环境变量 CODE_EXEC_TYPE，而该变量的默认值正是 local。对应的 LocalExecutor 直接向动态执行的代码提供完整的 Python 内置函数，公告中声称的 RestrictedPython 限制并未真正生效——RestrictedPython 甚至不是项目的依赖项。
暴露路径为 /console-api/workflow/code/run 与 /workflow/v1/run 两个端点。已认证的低权限租户即可提交任意 Python 代码，在 core-workflow 容器内以 root 权限运行，并利用共享服务凭据绕过应用层的租户校验。漏洞对应 CWE-95（动态求值代码注入）、CWE-306（关键功能缺失认证）、CWE-653（隔离不当）等多种缺陷类型。修复版本 1.1.2 改为白名单机制，只允许 ifly、ifly-v2、langchain 等隔离型执行器，解析到其他类型时直接硬报错，同时把默认执行器切换为内置的隔离执行器。
影响评估
CVSS 评分为 9.9（严重），向量为 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H。评分中的 Scope Change（S:C）恰如其分地反映了风险范围：存在缺陷的只是一个工作流节点，但受牵连的是节点周边的一切——共享服务、数据库、其他租户数据都可能一并失守。对多租户部署而言，这意味着普通租户账号即可横向访问他人的工作流与数据；对单租户部署，同样存在容器内提权与凭据泄露的风险。
修复建议
- 升级到 Astron Agent 1.1.2 或更高版本。Docker Compose 部署可设置
ASTRON_AGENT_VERSION=v1.1.2。 - 升级前先备份数据库、持久化数据与配置，并同步更新 Compose 与网关配置。
- 复查租户活动、工作流定义与容器执行日志，确认是否有异常代码提交。
- 若受影响实例可能被未授权租户访问，立即轮换共享服务与数据库凭据。
- 核查执行器配置，确保不再回落到进程内的本地执行模式。