PT-2025-31707 · Unknown+1 · @Nestjs/Devtools-Integration+1

Jlleitschuh

·

Publicado

2025-08-01

·

Atualizado

2025-10-09

·

CVE-2025-54782

CVSS v4.0

9.4

Crítica

VetorAV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Nome do Software Vulnerável e Versões Afetadas
@nestjs/devtools-integration versões 0.2.0 e inferiores
Descrição
Existe uma vulnerabilidade crítica de Execução Remota de Código (RCE) no pacote @nestjs/devtools-integration. Quando habilitado, o pacote expõe um servidor HTTP de desenvolvimento local com um endpoint de API que utiliza uma implementação de sandbox JavaScript insegura. Devido ao sandboxing inadequado e à falta de proteções cross-origin, um site malicioso visitado por um desenvolvedor pode executar código arbitrário em sua máquina local. O endpoint vulnerável, /inspector/graph/interact, aceita entrada JSON contendo um campo code, que é então executado em uma sandbox Node.js vm.runInNewContext. A implementação da sandbox é similar à biblioteca abandonada safe-eval e permite escape fácil. O servidor não possui verificação adequada de CORS/Origin, permitindo que atacantes contornem as medidas de segurança.
Recomendações
Atualize para a versão 0.2.1 ou posterior.

Exploit

Correção

RCE

Command Injection

CSRF

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2025-13414
CVE-2025-54782
GHSA-85CG-CMQ5-QJM7

Produtos afetados

@Nestjs/Devtools-Integration
Nest