PT-2025-29170 · Unknown · Meshtastic

Yaniv-Git · Publicado 2025-07-10 · Atualizado 2025-07-11 · CVE-2025-53637

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do Meshtastic anteriores à 2.6.6

Descrição: O Meshtastic é uma solução de rede mesh de código aberto. A GitHub Action main matrix.yml é acionada pelo evento pull request target, que possui permissões extensas e pode ser iniciada por um atacante que fez um fork do repositório e criou um pull request. Na parte de execução de código shell, entradas controladas pelo usuário são interpoladas de forma insegura no código. Se explorada, atacantes poderiam injetar código não autorizado no repositório.

Recomendações: Atualize para a versão 2.6.6 ou posterior.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-53637

GHSA-6MWM-V2VV-PP96

Produtos afetados

Meshtastic

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53637.json · Exploit
• https://github.com/meshtastic/firmware/blob/3fd47d9713e7d1b6866c48cf218e2435741651a2/.github/workflows/main_matrix.yml#L34-L41 · Nota
• https://github.com/meshtastic/firmware/security/advisories/GHSA-6mwm-v2vv-pp96 · Nota
• https://twitter.com/CVEnew/status/1943668178346967471 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-53637 · Aviso do Fabricante
• https://t.me/cvenotify/128466 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1943584332125196514 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-53637 · Nota de Segurança