5ireはクロスプラットフォームのデスクトップ人工知能アシスタントおよびモデルコンテキストプロトコルクライアントです。バージョン0.15.3より前のバージョンでは、安全でないHTMLレンダリングにより、信頼されていないHTML（on*イベント属性を含む）がレンダラーコンテキストで実行される可能性がありました。攻撃者は`img onerror=...`ペイロードを注入して任意のJavaScriptをレンダラー内で実行でき、`window.bridge.mcpServersManager.createServer`のような公開されたブリッジAPIを呼び出すことが可能でした。これにより、不正なMCPサーバーの作成が可能となり、リモートコマンド実行につながる恐れがありました。バージョン0.15.3でこの問題は修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。