CVE-2025-25286

Nome do Software Vulnerável e Versões Afetadas: Versões do Crayfish anteriores à 4.1.0

Descrição: A execução remota de código pode ser possível em instalações do Homarus acessíveis via web em determinadas configurações. O exploit requer o envio de uma requisição ao endpoint "/convert" do Homarus. Para reduzir a capacidade de exploração, recomenda-se impedir que o acesso geral da Internet alcance o Homarus. Alternativamente ou adicionalmente, configure a autenticação no Crayfish para ser exigida de forma mais rigorosa, de modo que requisições com cabeçalhos Authorization que não sejam validados sejam rejeitadas antes que ocorra a interpolação de CLI problemática.

Recomendações: Para versões do Crayfish anteriores à 4.1.0, atualize para a versão 4.1.0 para resolver o problema. Como contorno temporário, considere impedir que o acesso geral da Internet alcance o Homarus. Adicionalmente, configure a autenticação no Crayfish para ser exigida de forma mais rigorosa, de modo que requisições com cabeçalhos Authorization que não sejam validados sejam rejeitadas antes que ocorra a interpolação de CLI problemática.