PT-2025-52494 · Dive · Dive

C2An1

·

Publicado

2025-12-19

·

Atualizado

2026-01-02

·

CVE-2025-66580

CVSS v3.1

9.6

Crítica

VetorAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Versões do Dive anteriores a 0.11.1
Descrição O Dive é um aplicativo desktop Host MCP de código aberto que integra com LLMs com chamada de função. Existe uma vulnerabilidade crítica de Cross-Site Scripting (XSS) Armazenado no componente de renderização de diagramas Mermaid. A aplicação permite a execução de JavaScript arbitrário via javascript:. Um atacante pode explorar isso para injetar uma configuração maliciosa de servidor Model Context Protocol (MCP), potencialmente levando à Execução Remota de Código (RCE) na máquina da vítima quando um nó é clicado. O componente vulnerável permite a injeção de código malicioso através do esquema URI javascript:.
Recomendações Atualize para a versão 0.11.1 para resolver este problema.

Exploit

Correção

RCE

XSS

Code Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79CWE-94

Identificadores relacionados

CVE-2025-66580
GHSA-XV8M-365J-X6H2

Produtos afetados

Dive