CVE-2026-43899: DeepChat: bypass em handler de pop-up do Electron permite execução arbitrária de protocolo
A CVE-2026-43899 afeta versões do DeepChat anteriores à v1.0.4-beta.1. O registro descreve uma mitigação incompleta da CVE-2025-55733 que deixou os manipuladores nativos de pop-up do Electron sem sanitização, permitindo que um link Markdown elaborado chegue a shell.openExternal() e contorne a validação de URLs externas. O CNA classifica como crítica, com pontuação CVSS 3.1 de 9.6, e informa que a correção está na v1.0.4-beta.1.
Visão geral
A CVE-2026-43899 é um problema crítico no DeepChat, uma plataforma de agente de IA de código aberto. Segundo o registro, trata-se de uma correção incompleta da CVE-2025-55733. O patch anterior restringiu api.openExternal() no script preload do renderer, mas os manipuladores nativos de janelas pop-up do Electron não foram sanitizados. O aviso está publicado em GitHub Security Advisory GHSA-cp8j-jx7q-7r5f.
Impacto
O registro indica que a falha pode levar à execução de protocolo arbitrária, descrita como execução remota de código (RCE). O CNA atribui pontuação base CVSS 3.1 de 9.6 com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, que indica vetor de rede, baixa complexidade, ausência de privilégios, necessidade de interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade. A fraqueza é classificada como CWE-20, Validação Imprópria de Entrada.
Produtos e versões afetados
- Produto: DeepChat, conforme descrito no registro.
- Versões afetadas: anteriores à v1.0.4-beta.1.
- A lista de afetados do registro está vazia, portanto o limite inferior exato das versões afetadas é desconhecido.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS registrada é 0.00559, com percentil 0.45023.
Correção e mitigação
- Atualize o DeepChat para a v1.0.4-beta.1 ou posterior, conforme informado no registro.
- Consulte o aviso vinculado acima para orientações do fornecedor.
- Até a atualização, limite a exposição do DeepChat a endpoints de IA não confiáveis e trate com cautela links Markdown vindos da saída dos modelos.
Orientações de detecção
- Inventarie as instalações do DeepChat e registre suas versões.
- Revise logs em busca de inicializações inesperadas de aplicativos externos ou atividade de manipuladores de protocolo originada do processo do DeepChat.
- Monitore conexões de saída incomuns ou novos processos iniciados pela aplicação.
Limitações das informações disponíveis
O registro não traz entradas de versões corrigidas ou afetadas, portanto o escopo exato além da descrição é desconhecido. A data do EPSS no registro (2026-10-13) é posterior à data de publicação, por isso sua atualidade deve ser verificada. Detalhes técnicos de reprodução não são fornecidos aqui, por decisão deliberada.
Perguntas frequentes
Quais versões do DeepChat são afetadas pela CVE-2026-43899?
Segundo o registro, são afetadas as versões anteriores à v1.0.4-beta.1. O registro não informa um intervalo afetado preciso.
A CVE-2026-43899 é conhecida por ser explorada?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer?
Atualize o DeepChat para a v1.0.4-beta.1 ou posterior e limite a exposição a endpoints de IA não confiáveis até concluir a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.