PT-2025-30525 · Bun · Bun

Liran Tal · Publicado 2025-07-23 · Atualizado 2025-08-14 · CVE-2025-8022

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas bun (versões afetadas não especificadas)

Descrição O pacote está suscetível à Neutralização Imprópria de Elementos Especiais Usados em um Comando do SO ('Injeção de Comando do SO') dentro da API shell. Isso ocorre devido à neutralização insuficiente da entrada fornecida pelo usuário. Um atacante pode explorar isso fornecendo entrada especialmente elaborada contendo argumentos de linha de comando ou metacaracteres do shell, potencialmente resultando em execução de comando não intencional.

Recomendações Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-8022

GHSA-4J66-8F4R-3PJX

Produtos afetados

Bun

Referências · 13

• https://github.com/oven-sh/bun · Nota
• https://security.snyk.io/vuln/SNYK-JS-BUN-9510752 · Nota
• https://twitter.com/CVEnew/status/1947897515514159424 · Publicação no Twitter
• https://twitter.com/liran_tal/status/1955978616853905454 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-8022 · Nota de Segurança
• https://twitter.com/marcin_brz81183/status/1947912787969151147 · Publicação no Twitter
• https://t.me/cveNotify/131633 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1947887165439873242 · Publicação no Twitter
• https://gist.github.com/lirantal/9780d664037f29d5277d7b2bc569d213 · Nota
• https://twitter.com/VulmonFeeds/status/1947978305203793937 · Publicação no Twitter
• https://t.me/cveNotify/129945 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4j66-8f4r-3pjx · Aviso do Fabricante
• https://t.me/CVEtracker/28453 · Publicação no Telegram