关键漏洞信息 漏洞类型 XSS (跨站脚本攻击) RCE (远程代码执行) 影响版本 AIRI 0.7.2-beta.2_macos_amd64.dmg: v0.7.2-beta.2 AIRI 0.7.2-beta.2_macos_arm64.dmg: v0.7.2-beta.2 AIRI 0.7.2-beta.2_windows_amd64-setup.exe: v0.7.2-beta.2 修复版本 AIRI 0.7.2-beta.2_macos_amd64.dmg: v0.7.2-beta.3 AIRI 0.7.2-beta.2_macos_arm64.dmg: v0.7.2-beta.3 AIRI 0.7.2-beta.2_windows_amd64-setup.exe: v0.7.2-beta.3 漏洞描述 Markdown处理问题: 在 路径中，Markdown内容使用 进行处理，并直接插入DOM中，导致XSS。 命令执行接口暴露: 项目暴露了Tauri API，允许前端调用命令行接口，导致任意命令执行。 PoC示例 影响 命令执行: 攻击者可以通过上传卡片或创建角色卡触发命令执行。 CVSS评分 严重性: Critical (9.7/10) 攻击向量: Network 攻击复杂度: Low 特权要求: None 用户交互: Required 作用范围: Changed 机密性影响: High 完整性影响: High 可用性影响: High CVE ID CVE-2025-5103 弱点 CWE-79: 跨站脚本