CVE-2025-58176
Təsvir
Dive, funksiya çağıran LLM-lərlə inteqrasiyanı təmin edən açıq mənbəli MCP Host Desktop tətbiqidir. 0.9.0 və 0.9.3 versiyaları arasında, JSON obyektindəki `transport` xüsusi url dəyəri vasitəsilə tetiklənan bir klikli uzaqdan kodun icrası (Remote Code Execution) zəifliyi mövcuddur. Hücumçu bu zəiflikdən aşağıdakı iki ssenaridə istifadə edə bilər: qurban hücumçunun nəzarətində olan zərərli veb sayta daxil olur və sayt avtomatik olaraq həmin URL-ə yönləndirilir, yaxud qurban legitim veb saytda yerləşdirilmiş belə bir hazırlanmış linkə (məsələn, istifadəçi tərəfindən yaradılan kontentdə) klikləyir. Hər iki halda brauzer Dive-ın xüsusi URL idarəedicisini (dive:) çağırır, bu isə Dive tətbiqini işə salır və hazırlanmış URL-i emal edərək qurbanın kompüterində ixtiyari kodun icrasına səbəb olur. Bu zəiflik xüsusi url-in yanlış emal edilməsi nəticəsində yaranmışdır. Problem 0.9.4 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openagentplatform dive0.9.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openagentplatform dive | 0.9.0 ≤ v < 0.9.4 | 0.9.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.