何が起きたか
NVD は2026年8月6日、CVE-2026-18973 (CVSS 7.3, High) を公開し、super-agent-party フレームワークの extension-proxy コンポーネント内の SSRF 欠陥の公開 PoC/悪用の詳細を開示しました。
なぜ重要か
エージェントの拡張機能/プラグイン プロキシ内の SSRF は、内部クラウドメタデータサービスまたは内部のみの API にピボットするために使用でき、クラウドでホストされるエージェント デプロイメント内の認証情報盗難への一般的なパスです。
攻撃経路
extension_proxy ルート内の sanitize_proxy_url 関数は、プライベートネットワークターゲットを検出しますが、拒否するのではなく記録するだけで、リモート攻撃者がサーバーに任意の内部 HTTP リクエスト (SSRF) を行わせることを許可します。
影響を受けるシステム
heshengtao super-agent-party ≤ 0.4.1
緩和策
パッチされた super-agent-party リリースにアップグレードしてください。補足管理として、ネットワークレイヤーでプライベート IP 範囲へのアウトバウンドリクエストをブロックしてください。