CVE-2025-59417
Təsvir
Lobe Chat açıq mənbəli süni intellekt çat freymvorkudur. Versiya 1.129.4-dən əvvəl, lobe-chat-də çat mesajlarının emalı zamanı saytlararası skriptinq (XSS) zəifliyi mövcuddur və bu, istifadəçinin kompüterində uzaqdan kodun icrasına səbəb ola bilər. Lobe-chat-də serverdən gələn cavab <lobeArtifact identifier="ai-new-interpretation" ...> şəklində olduqda, o, sadə mətn yerinə lobeArtifact düyünü ilə render edilir. Lakin, lobeArtifact tipi image/svg+xml olduqda, o, daxildə svg məzmununu təyin etmək üçün dangerouslySetInnerHTML funksiyasından istifadə edən SVGRender komponenti kimi render edilir ki, bu da XSS hücumuna yol açır. Prompt inyeksiyası üçün zərərli səhifə host etmək, kompromisə uğramış MCP serverini idarə etmək və ya alət inteqrasiyalarından istifadə etmək kimi çat mesajlarına məzmun yerləşdirə bilən hər hansı tərəf bu zəiflikdən istifadə edə bilər. Bu zəiflik 1.129.4 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- lobehub lobe_chat1.129.4 və ya daha yeni versiya
- @lobehub/chat1.129.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lobehub lobe_chat | v < 1.129.4 | 1.129.4 |
| @lobehub/chatnpm | v < 1.129.4 | 1.129.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.