CVE-2026-22792 in 5ire
要約
〜によって VulDB • 2026年06月01日
5ireは、クロスプラットフォームのデスクトップ型AIアシスタントおよびモデルコンテキストプロトコル（MCP）クライアントです。バージョン0.15.3より前では、安全でないHTMLレンダリングにより、信頼できないHTML（on*イベント属性を含む）がレンダラーコンテキスト内で実行される可能性があります。攻撃者は`<img onerror=...>`ペイロードを注入してレンダラー内で任意のJavaScriptを実行でき、これにより`window.bridge.mcpServersManager.createServer`などの公開されたブリッジAPIを呼び出すことができます。これにより、MCPサーバーの不正な作成が可能となり、リモートコマンド実行（RCE）につながります。この問題はバージョン0.15.3で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.