事件经过
CVE-2026-119025 / GHSA-jgwm-4pmq-r4w4：open 7.2.0至11.0.0将未转义的URL（包括恶意MCP服务器提供的OAuth authorization_endpoint值）传递给Windows和WSL上的`powershell -EncodedCommand`。URL中嵌入的$(...)子表达式被当作shell执行，因此恶意远程MCP服务器的OAuth端点可在客户端运行授权流程时在开发者机器上实现任意代码执行。
影响分析
这是一个具体的代理执行攻击类别：攻击者控制代理连接的MCP服务器，仅通过OAuth握手即可以开发者权限运行任意代码。它将“连接MCP服务器”转变为编码代理部署中的宿主机RCE。
攻击途径
用户连接一个远程MCP服务器，其OAuth authorization_endpoint包含$(...)命令替换；客户端从未转义URL构建powershell -EncodedCommand命令并执行。
受影响系统
open / opencode 7.2.0至11.0.0之前的版本。
缓解措施
升级到open 11.0.0或更高版本；验证/白名单MCP服务器授权端点，避免在Windows/WSL主机上连接未经验证的远程MCP服务器。