PT-2025-29137 · Unknown · Mako Server

Hyp3Rlinx + 1 · Publicado 2025-07-10 · Atualizado 2025-07-11 · CVE-2025-34095

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: Mako Server versões 2.5 e 2.6

Descrição: Uma vulnerabilidade de injeção de comandos do sistema operacional existe na interface do tutorial. Um atacante não autenticado pode enviar uma solicitação PUT manipulada contendo código Lua os.execute() arbitrário para o endpoint /examples/save.lsp. Este código é então persistido em disco e acionado via uma solicitação GET subsequente para /examples/manage.lsp, permitindo a execução remota de comandos no sistema operacional subjacente, impactando tanto implantações baseadas em Windows quanto em Unix.

Recomendações: Mako Server versão 2.5: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Mako Server versão 2.6: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-34095

Produtos afetados

Mako Server

Referências · 8

• 🔥 https://exploit-db.com/exploits/43132 · Exploit
• 🔥 https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/makoserver_cmd_exec.rb · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-34095 · Nota de Segurança
• https://twitter.com/CVEnew/status/1943668202866987318 · Publicação no Twitter
• https://vulncheck/advisories/mako-server-rce · Nota
• https://twitter.com/VulmonFeeds/status/1943458907856191862 · Publicação no Twitter
• https://t.me/cvenotify/128435 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1943395290326667399 · Publicação no Twitter