CVE-2026-22792 in 5ire
Riassunto
di VulDB • 16/06/2026
5ire è un assistente desktop per l'intelligenza artificiale e un client del Model Context Protocol (MCP) multipiattaforma. Prima della versione 0.15.3, il rendering HTML non sicuro consentiva l'esecuzione di codice HTML non attendibile (inclusi gli attributi evento `on*`) nel contesto del renderer. Un attaccante può iniettare un payload `<img onerror=...>` per eseguire JavaScript arbitrario nel renderer, che a sua volta può chiamare le API bridge esposte come `window.bridge.mcpServersManager.createServer`. Ciò consente la creazione non autorizzata di server MCP e porta all'esecuzione remota di comandi (RCE). La versione 0.15.3 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.