CVE-2025-58176 in Dive
Riassunto
di VulDB • 17/06/2026
Dive è un'applicazione desktop open-source MCP Host che consente l'integrazione con LLM (Large Language Models) basati su function-calling. Nelle versioni dalla 0.9.0 alla 0.9.3, è presente una vulnerabilità di Remote Code Execution (RCE) a "un click" attivata tramite un valore `url` personalizzato, specificato come campo `transport` all'interno dell'oggetto JSON. Un attaccante può sfruttare la vulnerabilità nei seguenti due scenari: una vittima visita un sito web malevolo controllato dall'attaccante e il sito reindirizza automaticamente l'utente verso l'URL malizioso, oppure la vittima fa clic su tale link manipolato incorporato in un sito legittimo (ad esempio, all'interno di contenuti generati dagli utenti). In entrambi i casi, il browser invoca il gestore URL personalizzato di Dive (`dive:`), che avvia l'applicazione Dive ed elabora l'URL costruito ad hoc, portando all'esecuzione di codice arbitrario sulla macchina della vittima. Questa vulnerabilità è causata da un trattamento improprio dell'url personalizzato. Il problema è stato risolto nella versione 0.9.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.