CVE-2026-43900 in deepchat
الملخص
بحسب VulDB • 18/05/2026
DeepChat هو منصة مفتوحة المصدر لوكلاء الذكاء الاصطناعي توحد النماذج والأدوات والوكلاء. قبل الإصدار v1.0.4-beta.1، يوجد ثغرة في تنفيذ الأكواد عبر المواقع (XSS) ناتجة عن عدم تطابق بين طبقة التحقق من الصحة في الخادم ومحرك عرض المتصفح في الواجهة الأمامية. يقوم SVGSanitizer (src/main/lib/svgSanitizer.ts) بتقييد تنفيذ الأكواد البرمجية عن طريق إزالة بروتوكولات javascript: باستخدام تعبيرات عادية (Regular Expressions) للنصوص العادية. ومع ذلك، فإنه لا يأخذ في الاعتبار فك تشفير كيانات HTML قبل إدراج DOM عبر v-html داخل مكون SvgArtifact.vue. ومن خلال تغذية كائن SVG بكائنات مشفرة (مثل javascript:alert(1))، يمكن للمهاجم تجاوز المرشح بالكامل، مما يؤدي إلى تنفيذ أكواد JavaScript عشوائية عندما يتفاعل الضحية مع عنصر SVG المعروض. تم إصلاح هذه الثغرة في الإصدار v1.0.4-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.