CVE-2026-107685 - WebSocket 連線未驗證 TLS 憑證，暴露 API 金鑰與 OAuth 令牌給中間人攻擊者
CVE-2026-107685 - WebSocket sessions do not verify TLS certificates, exposing API keys and OAuth tokens to on-path attackers
CVE-2026-107685 發現 agentjido req_llm 的 WebSocket 客戶端未驗證 TLS 憑證，允許中間人竊取 OpenAI API 金鑰與 OAuth 令牌。
漏洞揭示 WebSocket 連線缺乏 TLS 憑證驗證，提醒開發者務必啟用證書檢查以保護 API 金鑰。
不正確憑證驗證漏洞於 agentjido req_llm 的 WebSocket 直流客戶端允許中間人攻擊者讀取並修改 OpenAI WebSocket 連線，包括授權 bearer token，透過客戶端不信任的 TLS 憑證。ReqLLM.Streaming.WebSocketSession.Client.start/3 在 lib/req_llm/streaming/web_socket_session/client.ex 中啟動 WebSockex 時未設定 TLS 選項，WebSockex 預設 insecure: true，並以 verify: :verify_none 連線。allowlist 選項亦會丟棄任何呼叫者提供的 cacerts 或 ssl_options，導致應用程式無法啟用驗證。 OpenAI Responses、Realtime 與 Codex 的 WebSocket 路徑會到達此客戶端，並在授權標頭中傳送 API 金鑰或 OAuth 存取權杖。透過 Finch 的 HTTP 直流與 Mint 的 HTTP/2 雙工會話會驗證憑證，並不受此問題影響。 此問題影響 req_llm：從 1.9.0 直到 1.29.0。
影響
受影響產品
以下產品受 CVE-2026-107685
漏洞影響。
即使 cvefeed.io 知道受影響產品的精確版本，該資訊未在下表中顯示。
| 識別碼 | 供應商 | 產品 | 措施 |
|---|---|---|---|
| 1 | Agentjido | req_llm |
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞嚴重度。 我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 嚴重 | 6b3ad84c-e1a6-4bf7-a703-f496b71e49db |
將 req_llm 更新至 1.29.0 或更高版本以修正不正確憑證驗證。
- 將 req_llm 更新至 1.29.0 或更高版本。
- 確保已啟用 TLS 憑證驗證。
- 檢查 WebSocket 客戶端設定。
- 將安全修補程式套用於 agentjido。
我們掃描 GitHub 倉儲以偵測新的概念驗證利用。以下清單為已於 GitHub 釋出的公開利用與概念驗證，依最近更新時間排序。
由於可能的效能問題，結果僅限於前 15 個倉儲。
以下清單為文章中提及
CVE-2026-107685 漏洞的新聞。
EPSS 為每日估計，預測在未來 30 天內被觀測到利用活動的機率。下圖顯示該漏洞的 EPSS 分數歷史。