CVE-2026-22793
KrytyczneStreszczenie
5ire to wieloplatformowy asystent AI i klient protokołu MCP. Przed wersją 0.15.3 podatność w pluginie ECharts Markdown pozwalała na wykonanie dowolnego kodu JavaScript w kontekście renderera, co może prowadzić do zdalnego wykonania kodu (RCE) w środowiskach z dostępnymi uprzywilejowanymi API, takimi jak electron.mcp, i pełnego przejęcia systemu. Wersja 0.15.3 naprawia ten problem.
Ocena ryzyka
Atakujący może przejąć kontrolę nad systemem, na którym działa 5ire, co prowadzi do pełnej kompromitacji hosta i potencjalnego dostępu do wrażliwych danych.
Rekomendacja
Zaktualizuj 5ire do wersji 0.15.3 lub nowszej, aby wyeliminować podatność.
Oryginalny opis (angielski, źródło NVD)
5ire is a cross-platform desktop artificial intelligence assistant and model context protocol client. Prior to version 0.15.3, an unsafe option parsing vulnerability in the ECharts Markdown plugin allows any user able to submit ECharts code blocks to execute arbitrary JavaScript code in the renderer context. This can lead to Remote Code Execution (RCE) in environments where privileged APIs (such as Electron’s electron.mcp) are exposed, resulting in full compromise of the host system. Version 0.15.3 patches the issue.