CVE-2025-67744
KrytyczneStreszczenie
DeepChat przed wersją 0.5.3 zawiera podatność XSS w komponencie renderowania diagramów Mermaid, która z powodu wystawienia interfejsu IPC Electrona do DOM eskaluje do pełnego zdalnego wykonania kodu (RCE). Atakujący może wykonać dowolne polecenia systemowe.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ atakujący może przejąć kontrolę nad systemem użytkownika, wykonując dowolne polecenia, co może prowadzić do kradzieży danych lub pełnej kompromitacji.
Rekomendacja
Zaleca się natychmiastową aktualizację DeepChat do wersji 0.5.3 lub nowszej, która zawiera poprawkę.
Inne podatności w DeepChat
Zobacz wszystkie- CVE-2026-43899Krytyczne
DeepChat przed wersją 1.0.4-beta.1 jest podatny na obejście zabezpieczeń związanych z wykonywaniem protokołów, co może prowadzić do zdalnego wykonania kodu (RCE). Problem wynika z niewłaściwego sanitizowania obsługi okien pop-up w Electronie, co pozwala atakującemu na przechwycenie złośliwego URL.
- CVE-2025-66481Krytyczne
DeepChat w wersjach 0.5.1 i niższych jest podatny na ataki XSS przez nieprawidłowo sanitizowaną zawartość Mermaid. Obejście zabezpieczeń jest możliwe przez niecytowane atrybuty HTML i kodowanie encji HTML. Możliwe jest zdalne wykonanie kodu na maszynie ofiary przez electron.ipcRenderer. Brak poprawki w momencie publikacji.
- CVE-2025-66222Krytyczne
DeepChat w wersji 0.5.0 i wcześniejszych ma podatność na Stored Cross-Site Scripting (XSS) w rendererze diagramów Mermaid, która pozwala atakującemu na wykonanie dowolnego JavaScriptu w kontekście aplikacji. Wykorzystując odsłonięty mostek IPC Electron, XSS może zostać eskalowany do zdalnego wykonania kodu (RCE) poprzez rejestrację i uruchomienie złośliwego serwera MCP.
Oryginalny opis (angielski, źródło NVD)
DeepChat is an open-source artificial intelligence agent platform that unifies models, tools, and agents. Prior to version 0.5.3, a security vulnerability exists in the Mermaid diagram rendering component that allows arbitrary JavaScript execution. Due to the exposure of the Electron IPC renderer to the DOM, this Cross-Site Scripting (XSS) flaw escalates to full Remote Code Execution (RCE), allowing an attacker to execute arbitrary system commands. Two concurrent issues, unsafe Mermaid configuration and an exposed IPC interface, cause this issue. Version 0.5.3 contains a patch.