事件经过
NVD 于 2026 年 9 月 16 日发布了此 CVSS 8.8 高危漏洞，描述同一聊天转代理桥接器两个输入通道之间的授权一致性差距。
影响分析
这是本周在 MCP 生态系统中观察到的更广泛 agent 模式的一个小而具有指导意义的示例：授权检查在同一 agent 命令桥接器的多个输入界面之间应用不一致，允许仅有权访问一个输入通道的攻击者通过另一个通道向特权 agent 下达命令。
攻击途径
cc-connect 在其文本消息处理程序中强制执行按用户允许列表过滤，但在 Feishu 交互式卡片回调的 onCardAction 处理程序中不执行此过滤，使攻击者能够通过触发攻击者已被允许进入的聊天中的卡片操作来分发 agent 命令，从而绕过旨在限制谁可以向 agent 下达命令的访问控制。
受影响系统
cc-connect <= 1.5.0
缓解措施
发布修复后将 cc-connect 升级到 1.5.0 以上版本；在所有可触发 agent 命令的输入处理程序（文本和卡片操作）上应用一致的授权检查。