事件经过
NVD 于 2026-10-02 为 SuperAGI 0.0.14 发布了三个未评级的访问控制 CVE（CVE-2026-51901 调度、CVE-2026-51904 执行、CVE-2026-51914 模板）：端点接受跨组织的代理引用，且无所有权检查。
影响分析
在多租户代理平台中，跨组织执行意味着租户可以触发其他组织的代理（这些代理可能携带该组织的工具凭证和副作用）——即使在低紧迫性下也值得记录的代理授权差距。
攻击途径
/api/agentexecutions/schedule、create_agent_execution/create_agent_run 以及代理模板端点中调用者提供的 agent_id / agent_execution_id 值被接受，而未验证所引用的代理是否属于调用者的组织。
受影响系统
SuperAGI <= 0.0.14
缓解措施
应用上游授权修复（在控制器中验证 agent_id 的所有权）或在补丁发布前限制多租户暴露。