PulseAugur
中
实时 03:05:50
English(EN) The Allowlist Guarded the Destination, Not the Route: A Proxies Parameter Leaked Credentials From an Agent HTTP Tool

Strands agent工具漏洞通过代理注入泄露凭证

作者 PulseAugur 编辑部 · [1 个来源] ·

在 strands-agents-tools 库中的 http_request 工具中发现了一个安全漏洞 CVE-2026-18394。此漏洞允许通过提示注入将请求重定向到攻击者控制的代理服务器，从而导致凭证泄露。该漏洞被评为中等风险，CVSS 评分为 6.9。通过从模型可见输入中移除 'proxies' 参数，确保代理设置由操作员控制，从而修复了该漏洞。 AI

影响 此漏洞凸显了处理不可信 LLM 输入的代理工具所带来的风险，可能导致凭证泄露，并需要进行仔细的安全审计。

排序理由 针对特定软件工具的安全漏洞披露。

在 dev.to — LLM tag 阅读 →

AI 生成摘要 · Google Gemini · 来自 1 个来源。 我们如何撰写摘要 →

Strands agent工具漏洞通过代理注入泄露凭证

本文如何被排名

Signal score
64 / 100
Composite score across the factors below. Higher = stronger signal that this story matters right now.
Newsworthiness bucket
Tool
针对特定软件工具的安全漏洞披露。
Source corroboration
Single-source cluster
Only one publisher covered this so far. Single-source stories can still rank when the publisher is high-authority, but they lack cross-source corroboration.
Topics
product, safety
Editorial topic classification. Feeds into how the story surfaces on /topic/<slug> hub pages and into the per-entity coverage mix.
AI-industry relevance
High
Clearly on-topic for AI-industry coverage.
Story freshness
Breaking (< 6h)
Fresh story with cross-source coverage still developing. Ranking may shift as more sources report.

完整方法见我们的编辑标准。

报道来源 [1]

  1. dev.to — LLM tag TIER_1 English(EN) · hugginf_expert ·

    允许列表守护的是目标，而非路径：代理参数泄露了来自代理HTTP工具的凭证

    <h2> TL;DR </h2> <ul> <li>CVE-2026-18394 (GitHub advisory GHSA-qhw6-2h72-m84v, AWS bulletin 2026-069-AWS, published July 31, 2026) is a credential leak in the <code>http_request</code> tool of <code>strands-agents-tools</code>. An operator could bind a token to approved hostnames…

相关实体

相关话题