🇰🇷 한글 설명
DeepChat 0.5.0 및 이전 버전의 Mermaid 다이어그램 렌더러에서 저장형 XSS 취약점이 발견되었습니다. 공격자는 이를 통해 애플리케이션 컨텍스트 내에서 임의의 자바스크립트를 실행할 수 있으며, 노출된 Electron IPC 브릿지를 악용하여 악성 MCP 서버를 등록함으로써 원격 코드 실행(RCE)까지 확대할 수 있습니다.
💡 쉬운 설명
채팅 서비스의 다이어그램 기능에 악성 코드를 숨겨두면, 사용자가 이를 볼 때 해커가 사용자의 컴퓨터를 마음대로 조종할 수 있는 보안 결함입니다. 단순한 웹 공격을 넘어 해커가 사용자의 시스템에 직접 명령을 내릴 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
DeepChat is a smart assistant uses artificial intelligence. In 0.5.0 and earlier, there is a Stored Cross-Site Scripting (XSS) vulnerability in the Mermaid diagram renderer allows an attacker to execute arbitrary JavaScript within the application context. By leveraging the exposed Electron IPC bridge, this XSS can be escalated to Remote Code Execution (RCE) by registering and starting a malicious MCP (Model Context Protocol) server.
📍 영향받는 시스템
DeepChat 0.5.0 및 그 이전 모든 버전
⚔️ 공격 벡터
Mermaid 다이어그램 렌더링을 통한 XSS 공격 후 Electron IPC 브릿지를 이용한 RCE로 에스컬레이션
🛡️ 대응 방법
DeepChat를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 DeepChat의 버전을 확인하여 0.5.0 이하인지 체크합니다.
dpkg -l | grep deepchat 2>/dev/null || npm list -g deepchat 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server