PT-2025-12250 · Composio · Composio

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-8953

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas composiohq/composio versão 0.4.3

Descrição O problema envolve o uso da função insegura eval() no endpoint "mathematical calculator" para realizar operações matemáticas. Isso pode levar à execução arbitrária de código se entrada não confiável for passada para a função eval().

Recomendações Para composiohq/composio versão 0.4.3, considere desativar o endpoint mathematical calculator até que uma correção esteja disponível para substituir a função eval() por uma alternativa mais segura. Restrinja o acesso a este endpoint para minimizar o risco de exploração. Evite passar entrada não confiável para a função eval() no endpoint mathematical calculator.

Exploit

Correção

Enumeração de Fraquezas

CWE-913

CWE-627

Identificadores relacionados

CVE-2024-8953

GHSA-5XG7-5662-8X7J

Produtos afetados

Composio

Referências · 8

• 🔥 https://huntr.com/bounties/8203d721-e05f-4500-a5bc-c0bec980420c · Exploit
• https://github.com/ComposioHQ/composio/commit/ed82fb45dc9fbd7f07c535c72bada871c158ae5f · Nota
• https://github.com/ComposioHQ/composio/blob/b932d99e67f0fe95f8a0a24be9352e3f99059bc3/python/composio/tools/local/mathematical/actions/calculator.py#L37 · Nota
• https://github.com/ComposioHQ/composio-js · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-8953 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5xg7-5662-8x7j · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-8953 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671050090942660 · Publicação no Twitter