CVE-2025-68669: 5ire跨平台桌面AI助手远程代码执行漏洞

5ire是一款跨平台桌面人工智能助手和模型上下文协议客户端。在0.15.2及之前版本中，存在严重的远程代码执行漏洞。漏洞源于useMarkdown.ts文件中markdown-it-mermaid插件的安全配置不当，使用了securityLevel: 'loose'模式。这一配置允许在Mermaid图表节点中渲染HTML标签，为攻击者提供了可乘之机。攻击者可通过精心构造的恶意内容，在用户查看时执行任意代码，对系统安全构成严重威胁。

该漏洞主要涉及前端渲染安全。markdown-it-mermaid插件在处理Mermaid图表时，使用了宽松的安全级别配置。具体来说，securityLevel: 'loose'允许HTML标签直接渲染，这可能导致跨站脚本(XSS)攻击。攻击者可以利用这一特性，注入恶意脚本或代码。当受害者查看包含恶意Mermaid图表的内容时，这些代码将在其浏览器上下文中执行，可能导致会话劫持、数据窃取或进一步的系统入侵。