CVE-2025-66580

Krytyczne

Opublikowano: 19/12/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Dive to open-source aplikacja desktopowa MCP Host, która umożliwia integrację z modelami LLM. Krytyczna podatność Stored XSS istnieje w wersjach przed 0.11.1 w komponencie renderowania diagramów Mermaid. Aplikacja pozwala na wykonanie dowolnego JavaScriptu przez `javascript:`. Atakujący może wstrzyknąć złośliwą konfigurację serwera MCP, co prowadzi do zdalnego wykonania kodu na maszynie ofiary po kliknięciu węzła. Wersja 0.11.1 naprawia problem.

Ocena ryzyka

Ryzyko zdalnego wykonania kodu na komputerze ofiary, co może prowadzić do pełnej kompromitacji systemu i kradzieży danych.

Rekomendacja

Zaleca się natychmiastową aktualizację Dive do wersji 0.11.1 lub nowszej oraz unikanie otwierania niezaufanych konfiguracji MCP.

Oryginalny opis (angielski, źródło NVD)

Dive is an open-source MCP Host Desktop Application that enables integration with function-calling LLMs. A critical Stored Cross-Site Scripting (XSS) vulnerability exists in versions prior to 0.11.1 in the Mermaid diagram rendering component. The application allows the execution of arbitrary JavaScript via `javascript:`. An attacker can exploit this to inject a malicious Model Context Protocol (MCP) server configuration, leading to Remote Code Execution (RCE) on the victim's machine when the node is clicked. Version 0.11.1 fixes the issue.