Suuuuuzy

O AFFiNE é um espaço de trabalho e sistema operacional de código aberto. Versões anteriores à 0.25.4 contêm uma vulnerabilidade de execução remota de código com um clique. Um atacante pode explorar isso incorporando uma URL `affine:` especialmente elaborada em um site. A exploração ocorre quando uma vítima visita um site malicioso que redireciona para a URL ou clica em um link elaborado em um site legítimo. Isso aciona o manipulador de URL personalizado do AFFiNE, iniciando o aplicativo e processando a URL, resultando em execução arbitrária de código na máquina da vítima sem interação adicional.

O Dive é um aplicativo desktop Host MCP de código aberto que permite integração com LLMs com chamada de função. As versões 0.9.0 a 0.9.3 contêm uma vulnerabilidade de Execução Remota de Código (RCE) acionada por um valor de URL manipulado, `transport`, dentro de um objeto JSON. Um atacante pode explorar essa vulnerabilidade redirecionando uma vítima para um site malicioso ou incorporando um link manipulado em conteúdo legítimo. Quando uma vítima interage com o link manipulado, o navegador invoca o manipulador de URL personalizado do Dive (dive:), iniciando o aplicativo e executando código arbitrário na máquina da vítima devido ao processamento inadequado da URL personalizada.