Diveは、関数呼び出しが可能なLLMと統合できるオープンソースのMCPホストデスクトップアプリケーションです。バージョン0.11.1未満のMermaidダイアグラム描画コンポーネントには、重大なストア型クロスサイトスクリプティング（XSS）脆弱性が存在していました。この脆弱性によって、アプリケーションは `javascript:` を通じて任意のJavaScriptを実行できるようになります。攻撃者はこの脆弱性を利用し、悪意のあるModel Context Protocol (MCP) サーバー設定を注入し、ユーザーがノードをクリックした際に被害者のマシン上でリモートコード実行（RCE）を引き起こす可能性があります。バージョン0.11.1で問題は修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。