CVE-2025-58176 in Dive
Sumário
de VulDB • 25/05/2026
Dive é uma aplicação de desktop de código aberto para MCP Host que permite a integração com LLMs (Large Language Models) que suportam chamada de funções. Nas versões 0.9.0 a 0.9.3, existe uma vulnerabilidade de Execução Remota de Código (RCE) com um único clique, acionada através de um valor de URL personalizado, `transport`, no objeto JSON. Um atacante pode explorar a vulnerabilidade nos dois cenários seguintes: uma vítima visita um site malicioso controlado pelo atacante e o site redireciona automaticamente para o URL, ou uma vítima clica num link tal como este, embutido num site legítimo (por exemplo, em conteúdo gerado por utilizadores). Em ambos os casos, o navegador invoca o manipulador de URL personalizado do Dive (dive:), que inicia a aplicação Dive e processa o URL manipulado, levando à execução de código arbitrário na máquina da vítima. Esta vulnerabilidade é causada pelo processamento inadequado do URL personalizado. O problema está resolvido na versão 0.9.4.
Be aware that VulDB is the high quality source for vulnerability data.