安全资讯 - 卫方智能网络安全资讯平台

MCP Python SDK 曝 OAuth 凭证窃取漏洞，恶意服务器可接管账户

2026年9月30日作者卫方智能

官方 MCP Python SDK 存在 OAuth 凭证窃取缺陷，恶意服务器可将客户端引导至自有令牌端点，窃取客户端密钥、授权码与 PKCE 校验密钥。受影响版本 1.9.1 至 2.1.1，修复版本为 1.30.0 与 2.2.0，暂无 CVE 编号。

2026年9月30日作者卫方智能

Ridge Security 披露 TDengine 时序数据库整数下溢漏洞 CVE-2026-42542，未认证攻击者向默认端口 6030 发送单个畸形包即可打崩服务端。影响 3.4.0.0 至 3.4.1.5，官方已在 3.4.1.6 修复，全球约 73 万实例受波及。

2026年9月30日作者卫方智能

苹果紧急推送 iOS 26.7.1、macOS 26.7.1 与 15.8.1，修复 CoreGraphics 越界写入漏洞 CVE-2026-86950。苹果确认该漏洞可能已被用于极高复杂度定向攻击，CISA 已将其列入 KEV 目录，建议存量旧版设备立即升级。

2026年9月29日作者卫方智能

Cloudflare Containers 共享存储池未清零复用的 64KiB 块，Workers 付费账户可读取其他租户容器残留数据，涉及 SQLite 数据库、.env 与凭据文件；官方已于 9 月 19 日完成修复，客户无需操作。

2026年9月29日作者卫方智能

D-Link DIR-895L 固件 A1_102b07 的 L2TP 控制通道解析存在越界写漏洞 CVE-2026-100740，CVSS 9.9，公开 PoC 已发布且厂商暂无补丁，建议隔离设备、关闭 L2TP 或更换型号。

2026年9月29日作者卫方智能

Froxlor 2.3.10 及以下版本存在三个高危漏洞，CVE-2026-100716 与 CVE-2026-100717 均为 CVSS 9.9，低权限客户账号即可提权至 root 或注入 Web 服务器配置，修复版本 2.3.12。

2026年9月29日作者卫方智能

Request a Quote for WooCommerce 插件 2.9.2 及以下存在未认证任意文件上传漏洞 CVE-2026-18143，CVSS 9.8，攻击者可在可访问目录写入 PHP 文件；官方已发 2.9.3，同时建议禁止 uploads 目录执行 PHP。

2026年9月29日作者卫方智能

OpenClaw 与 ClawHub 于 9 月 26 日集中披露约 79 个漏洞，涵盖沙箱逃逸、授权绕过、命令注入与路径遍历，最高 CVSS 8.8，修复版本为 2026.7.1 与 2026.8.1，技能市场投毒仍是活跃通道。

2026年9月28日作者卫方智能

新加坡电信运营商 SIMBA 于 9 月 24 日发现数据外泄，23549 名注册客户的姓名、身份证号、出生日期、手机号与邮箱被泄露。公司称支付信息未受影响，个人资料保护委员会已介入调查。

2026年9月28日作者卫方智能

Ontinue 披露 Lunex 恶意软件即服务平台：经 ClickFix 假验证码投递伪造 MSI，借 AMD Radeon PDFWKRNL.sys 驱动（CVE-2023-20598）实施 BYOVD，零化内核回调让安全软件保持运行却失效。

2026年9月28日作者卫方智能

两个 GitHub Actions 于 9 月 16 日被维护者重新启用但未清理 5 月投毒内容，版本标签仍指向恶意提交，导致依赖它们的约 1.5 万个仓库工作流继续下载并执行窃密载荷，9 月 25 日才再次被禁用。

2026年9月28日作者卫方智能

微软本地部署版 SharePoint Server 的 CVE-2026-65660 被低估为欺骗漏洞，实为 CVSS 8.8 的认证后 RCE。微软 9 月 25 日确认在野利用，CISA 同日列入 KEV 并限 9 月 28 日前修复。