事件经过
NVD于2026-10-07发布了CVE-2026-105138（CVSS 6.5），涉及Obot中凭据保护不足的缺陷：通过访问控制规则获得条目的基础用户可通过相应API端点读取MCP目录条目上的静态密钥，暴露管理员或高级用户设置的凭据。
影响分析
Obot是一个多智能体控制平面，MCP目录条目捆绑真实API凭据；向低权限用户暴露这些静态密钥会泄露这些MCP工具用于认证的确切密钥，使攻击者能够横向访问Obot之外的连接外部服务。
攻击途径
经过认证的基础用户，被授予MCP目录条目的访问权限后，可读取条目资源，包括管理员或高级用户为该MCP服务器配置的静态密钥（API密钥/凭据）。
受影响系统
Obot 0.12.0至0.26.2之前版本
缓解措施
将Obot升级至0.26.2或更高版本；限制哪些角色可接收包含静态密钥的MCP目录条目。