Podatności DeepChat
4 znanych podatności CVE w DeepChat, przetłumaczonych i ocenionych.
- CVE-2026-43899Krytyczne
DeepChat przed wersją 1.0.4-beta.1 jest podatny na obejście zabezpieczeń związanych z wykonywaniem protokołów, co może prowadzić do zdalnego wykonania kodu (RCE). Problem wynika z niewłaściwego sanitizowania obsługi okien pop-up w Electronie, co pozwala atakującemu na przechwycenie złośliwego URL.
- CVE-2025-67744Krytyczne
DeepChat przed wersją 0.5.3 zawiera podatność XSS w komponencie renderowania diagramów Mermaid, która z powodu wystawienia interfejsu IPC Electrona do DOM eskaluje do pełnego zdalnego wykonania kodu (RCE). Atakujący może wykonać dowolne polecenia systemowe.
- CVE-2025-66481Krytyczne
DeepChat w wersjach 0.5.1 i niższych jest podatny na ataki XSS przez nieprawidłowo sanitizowaną zawartość Mermaid. Obejście zabezpieczeń jest możliwe przez niecytowane atrybuty HTML i kodowanie encji HTML. Możliwe jest zdalne wykonanie kodu na maszynie ofiary przez electron.ipcRenderer. Brak poprawki w momencie publikacji.
- CVE-2025-66222Krytyczne
DeepChat w wersji 0.5.0 i wcześniejszych ma podatność na Stored Cross-Site Scripting (XSS) w rendererze diagramów Mermaid, która pozwala atakującemu na wykonanie dowolnego JavaScriptu w kontekście aplikacji. Wykorzystując odsłonięty mostek IPC Electron, XSS może zostać eskalowany do zdalnego wykonania kodu (RCE) poprzez rejestrację i uruchomienie złośliwego serwera MCP.