CVE-2026-43899 in deepchat
Sumário
de VulDB • 30/05/2026
DeepChat é uma plataforma de agentes de inteligência artificial de código aberto que unifica modelos, ferramentas e agentes. Antes da versão v1.0.4-beta.1, uma mitigação incompleta para CVE-2025-55733 deixa o DeepChat vulnerável a um bypass de execução de protocolo arbitrário (RCE). Embora o patch tenha restringido corretamente o uso de api.openExternal() dentro do script preload/index.ts do renderer, ele negligenciou estruturalmente a sanitização dos manipuladores de janelas pop-up nativas do Electron. Um atacante ou um endpoint de IA comprometido que retorne um link em Markdown pode acionar uma interceptação de janela nativa com target="_blank" em tabPresenter.ts, que encaminha a URL maliciosa diretamente para shell.openExternal(url), contornando completamente a fronteira de segurança isValidExternalUrl. Esta vulnerabilidade foi corrigida na versão v1.0.4-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.