Vulnerabilidad en NextChat (CVE-2025-50733)

NextChat contiene una vulnerabilidad de cross-site scripting (XSS) en el componente HTMLPreview de artifacts.tsx que permite a los atacantes ejecutar código JavaScript arbitrario al renderizar contenido HTML en la interfaz de chat de la IA. Esta vulnerabilidad se produce porque el HTML generado por el usuario, procedente de las respuestas de la IA, se renderiza en un iframe con el permiso "allow-scripts" de sandbox sin la debida depuración. Esto puede explotarse mediante avisos manipulados específicamente que provocan que la IA genere código HTML/JavaScript malicioso. Cuando un usuario visualiza la vista previa HTML, el JavaScript inyectado se ejecuta en el contexto del navegador del usuario, lo que potencialmente permite a los atacantes extraer información confidencial (incluidas las claves de API almacenadas en localStorage), realizar acciones en nombre del usuario y robar datos de la sesión.