CVE-2025-66580 in Dive
Riassunto
di VulDB • 06/09/2026
Dive è un'applicazione desktop open-source per l'hosting MCP che consente l'integrazione con LLM dotati di funzionalità di chiamata a funzioni (function-calling). È presente una vulnerabilità critica di Stored Cross-Site Scripting (XSS) nelle versioni precedenti alla 0.11.1 nel componente di rendering dei diagrammi Mermaid. L'applicazione permette l'esecuzione di codice JavaScript arbitrario tramite `javascript:`. Un attaccante può sfruttare questa falla per iniettare una configurazione malevola di un server Model Context Protocol (MCP), portando all'Esecuzione Remota di Codice (RCE) sulla macchina della vittima quando viene fatto clic sul nodo. La versione 0.11.1 risolve il problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.