关键漏洞信息 漏洞概述 漏洞名称: Remote Code Execution via Preview Window 严重性: Critical (9.1/10) CVE ID: CVE-2025-58766 受影响版本: <=0.19.0 修复版本: 0.20.0 描述 漏洞总结: Dyad RCE Vulnerability Summary - 在Dyad v0.19.0及更早版本中发现了一个严重的安全漏洞，允许攻击者在用户的系统上执行任意代码。该漏洞影响应用程序的预览窗口功能，并可以绕过Docker容器保护。 工作原理 当恶意内容在Dyad的预览窗口中显示时，漏洞会发生。攻击者可以制作在预览加载时自动执行的网页内容。恶意内容可以突破应用程序的安全边界并控制系统。 攻击场景 恶意模板: 通过Dyad的社区模板分发被破坏的模板。 间接提示注入: 在用户可能引用的外部源中嵌入恶意内容。 影响 远程代码执行: 攻击者可以在受害者的计算机上运行任意命令。 容器逃逸: 漏洞绕过Docker保护，即使Dyad在容器中运行也会影响主机系统。 受影响对象 使用Dyad v0.19.0或更早版本预览包含不受信任内容的Web应用程序的任何用户。这包括导入社区模板或与外部内容源一起工作的用户。 修复措施 该问题已在Dyad v0.20.0及更高版本中修复。请尽快升级到最新版本： - 下载链接 致谢 感谢@jackfromeast和@Suuuuuzy对漏洞的负责任披露，包括概念验证演示以及对修复的指导。