何が起きたか
Cheshire Cat AIコア 2.0.23まででは、アップロードプラグインでHTMLファイルをタイプ制限なしで保存し、アプリケーションオリジンから配信します。認証済みユーザーが悪意のあるHTMLファイルをアップロードし、公開URLをサインイン中の被害者に送信すると、被害者のブラウザが被害者のaccess_token Cookieでスクリプトを実行します — 管理者も含まれます。
なぜ重要か
通常のユーザーが細工されたアップロードと共謀して管理セッションでスクリプトを実行できるLLMチャット/エージェントプラットフォームは、AIアプリケーション全体（プラグイン設定、プロンプトストア、モデル資格情報）に対する権限昇格の経路を開きます。
攻撃経路
認証済みユーザーがPOST /uploadsを介してHTMLファイルをアップロードします（タイプ制限なし）。アプリオリジンから配信される公開GET /uploads/{path} URLがサインイン中の被害者（管理者を含む）に送信されます。ペイロードは被害者のaccess_token Cookieを使用してアプリケーションオリジンで実行されます。
影響を受けるシステム
cheshire-cat-ai/core <= 2.0.23 (アップロードプラグイン)
緩和策
公開時点でリリース済みの修正はありません。アップロードのMIMEタイプを制限し、アップロードを別のコンテンツ中立的なオリジン/ドメインから配信してください（VulnCheck勧告を参照）。