CVE-2026-108725

Nome do Software Vulnerável e Versões Afetadas Cheshire Cat AI core versões anteriores a 2.0.24

Descrição Um problema de cross-site scripting armazenado existe no plugin de uploads. Usuários autenticados podem fazer upload de arquivos HTML através do endpoint 'POST /uploads' devido à ausência de restrições de tipo de arquivo. Um invasor pode então enviar a URL pública 'GET /uploads/{path}' para um usuário conectado, executando um script na origem da aplicação com o cookie access token da vítima, incluindo administradores.

Recomendações Atualize o Cheshire Cat AI core para a versão 2.0.24 ou posterior. Restrinja o uso do endpoint 'POST /uploads' para evitar o upload de arquivos HTML como medida de mitigação temporária.