事件经过
Cheshire Cat AI core至2.0.23版本在uploads插件中存储上传的HTML文件时无类型限制，并从应用源提供这些文件。已认证用户上传恶意HTML文件，并将公共URL发送给已登录的受害者，受害者的浏览器将以受害者的access_token cookie（包括管理员）执行该脚本。
影响分析
在一个普通用户可借助构造的上传在管理员会话中执行脚本的LLM聊天/代理平台中，存在一条通往整个AI应用特权提升的路径（插件配置、提示词存储、模型凭据）。
攻击途径
已认证用户通过POST /uploads上传HTML文件（无类型限制）。从应用源提供的公共GET /uploads/{path} URL被发送给已登录的受害者（包括管理员）；载荷在应用源中以受害者的access_token cookie运行。
受影响系统
cheshire-cat-ai/core <= 2.0.23（uploads插件）
缓解措施
发布时无已发布修复；限制上传MIME类型，并从独立的内容中立源/域名提供上传文件（参见VulnCheck公告）。