CVE-2026-43900
Açıklama
DeepChat, modelleri, araçları ve ajanları birleştiren açık kaynaklı bir yapay zeka ajan platformudur. v1.0.4-beta.1 sürümünden önce, arka uç doğrulama katmanı ile ön uç tarayıcı işleme motoru arasındaki bir tutarsızlık nedeniyle Siteler Arası Betik Çalıştırma (XSS) zafiyeti bulunmaktadır. SVGSanitizer (src/main/lib/svgSanitizer.ts), düz metin düzenli ifadelerini kullanarak javascript: protokollerini temizleyip betik yürütülmesini kısıtlar. Ancak, SvgArtifact.vue bileşeni içindeki Vue'nun v-html DOM eklemesinden önce HTML varlık çözümlemesini (HTML entity decoding) hesaba katmamaktadır. Gizlenmiş varlıklar içeren (örneğin, javascript:alert(1)) bir SVG artefaktı besleyen bir saldırgan, temizleyiciyi tamamen atlayabilir ve bu durum, mağdur işlenen SVG Element ile etkileşime girdiğinde rastgele JavaScript çalıştırılmasıyla sonuçlanabilir. Bu zafiyet v1.0.4-beta.1 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ThinkInAIXYZ deepchat | < 1.0.4-beta.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.