事件经过
已通过NVD REST API验证（发布于2026-10-10，VulnCheck）。通过AI Core MCP工具造成管理员范围内的本地文件泄露。
影响分析
接入平台的MCP工具可访问文件原语；流包装器路径将AI文件上传工具转变为服务器文件读取原语，暴露应用密钥。
攻击途径
file_upload的source参数被传递给file_get_contents()，可使用file://或php://流包装器，将服务器文件内容存储到公共媒体磁盘，从而暴露包含APP_KEY和数据库凭据的.env文件（CWE-73）。
受影响系统
innocommerce/innoshop 0.9.2（AI Core MCP FileUploadTool）
缓解措施
更新InnoShop；验证MCP上传源为真实的本地文件路径（不允许流包装器），且切勿存储到公共媒体磁盘。参见VulnCheck公告。