CVE-2026-123024: Kerentanan Missing Authentication Terbit untuk AgentScope

Kerentanan missing authentication yang tercatat sebagai CVE-2026-123024 diterbitkan di National Vulnerability Database pada 5 November 2026. Kerentanan ini berdampak pada AgentScope versi 2.0.11 ke bawah, sebuah framework agen open-source yang dikembangkan Alibaba, khususnya komponen Agent Service pada fungsi get_current_user_id di src/agentscope/app/deps.py. Identitas pengguna dibaca dari header X-User-ID yang dikendalikan klien tanpa verifikasi kriptografis, sehingga penyerang jarak jauh dapat menyamar sebagai pengguna mana pun.

Exploit publik sudah tersedia. Catatan NVD saat ini berstatus Deferred, belum diberi skor CVSS, dan belum mencantumkan versi perbaikan pada saat penerbitan. Operator yang menjalankan versi terdampak disarankan untuk tidak mengekspos deployment ke jaringan tidak terpercaya sampai rilis perbaikan tersedia. Kerentanan ini memperlihatkan cacat desain yang berulang pada platform agen: identitas diambil dari header yang dikendalikan klien tanpa verifikasi.