OpenCode漏洞可让恶意MCP服务器在Windows和WSL登录时执行代码

事件经过

OpenCode AI编程代理存在一个漏洞，恶意或被劫持的MCP服务器可以在开发者登录时，在其Windows或WSL机器上运行代码。OpenCode漏洞可让恶意MCP服务器在Windows和WSL登录时执行代码 Swati Khandelwal 2026年10月22日 漏洞 / 人工智能 OpenCode AI编程代理中的一个漏洞，允许恶意或被劫持的MCP服务器在开发者登录时，在其Windows或WSL机器上运行代码。

攻击者需要控制开发者已添加的一个远程MCP服务器，而该服务器一开始不一定是恶意的。OpenCode连接MCP（模型上下文协议）服务器以添加外部工具，这类代码将以开发者自身的权限运行。

OpenCode的开发公司Anomaly于9月28日在1.18.33版本中修复了该漏洞。该公司既未申请CVE编号，也未发布安全公告，因此漏洞扫描器不会标记仍存在风险的版本：1.0.137至1.18.32。

在登录过程中，服务器本身会提供用户被引导前往的网址，即OAuth“授权端点”。在Windows和WSL上，OpenCode将该地址交给一个用于在浏览器中打开它的辅助程序。

该辅助程序在拼接PowerShell命令时没有对地址进行转义，因此一个专门构造为携带PowerShell命令的地址就会执行该命令。浏览器这一步只有在开发者通过运行opencode mcp auth或发出对应请求启动登录时才会执行。

仅仅配置了服务器或打开会话并不会触发它。之后被接管的服务器，或易手的域名，都可能携带同样的地址。