PT-2025-31707

CVE-2025-54782

Publicado

2025-08-01

Atualizado

2025-10-09

Descrição por

CVSS 4.0

9.4

Crítica

MétricasAV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas

@nestjs/devtools-integration versões 0.2.0 e inferiores

Descrição

Existe uma vulnerabilidade crítica de Execução Remota de Código (RCE) no pacote @nestjs/devtools-integration. Quando habilitado, o pacote expõe um servidor HTTP de desenvolvimento local com um endpoint de API que utiliza uma implementação de sandbox JavaScript insegura. Devido ao sandboxing inadequado e à falta de proteções cross-origin, um site malicioso visitado por um desenvolvedor pode executar código arbitrário em sua máquina local. O endpoint vulnerável, /inspector/graph/interact, aceita entrada JSON contendo um campo code, que é então executado em uma sandbox Node.js vm.runInNewContext. A implementação da sandbox é similar à biblioteca abandonada safe-eval e permite escape fácil. O servidor não possui verificação adequada de CORS/Origin, permitindo que atacantes contornem as medidas de segurança.

Recomendações

Atualize para a versão 0.2.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos