CVE-2026-121458：Instatic 0.0.21 之前版本经 MCP Content Read 工具授权绕过

CVE-2026-121458 披露 Instatic 0.0.21 之前版本存在授权绕过，CVSS 7.1 High，已在 0.0.21 修复。持有 ai.chat 与 content.edit.own 权限的认证用户可经 MCP 接口读取他人私有或未发布草稿内容，并列出 posts 系统表行。受影响版本为 0.0.12 至 0.0.21（不含），未列入 CISA KEV，无已知在野利用。