CVE-2026-43900

Nome do Software Vulnerável e Versões Afetadas DeepChat versões anteriores a 1.0.4-beta.1

Descrição Um problema de Cross-Site Scripting (XSS) existe devido a uma discrepância entre a camada de validação do backend e o mecanismo de renderização do navegador no frontend. A função SVGSanitizer (src/main/lib/svgSanitizer.ts) tenta impedir a execução de scripts removendo protocolos javascript: usando expressões regulares de texto simples. No entanto, ela não considera a decodificação de entidades HTML antes que a inserção de DOM v-html ocorra dentro do componente SvgArtifact.vue. Um invasor pode burlar o sanitizador usando entidades ofuscadas, como javascript:alert(1), resultando na execução de JavaScript arbitrário quando uma vítima interage com o Elemento SVG renderizado.

Recomendações Atualizar para a versão 1.0.4-beta.1.