PT-2025-34599 · Google · Google Cloud Dataform

Tomas Lažauninkas · Publicado 2025-08-25 · Atualizado 2025-08-25 · CVE-2025-9118

Positive Technologies (AI Summary) · Pt

CVSS v4.0

10

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas:

Google Cloud Dataform (versões afetadas não especificadas)

Descrição:

Existe uma vulnerabilidade de path traversal no processo de instalação de pacotes NPM do Google Cloud Dataform. Um atacante remoto pode ler e escrever arquivos nos repositórios de outros clientes utilizando um arquivo package.json criado de forma maliciosa. Nenhuma ação do cliente é necessária, pois o Google já aplicou mitigações.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2025-9118

Produtos afetados

Google Cloud Dataform

Referências · 12

• https://nvd.nist.gov/vuln/detail/CVE-2025-9118 · Nota de Segurança
• https://cloud.devsite.corp.google.com/dataform/docs/security-bulletins#gcp-2025-045 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1959883414061961391 · Publicação no Twitter
• https://twitter.com/BaseFortify/status/1959905876917309905 · Publicação no Twitter
• https://t.me/cveNotify/133332 · Publicação no Telegram
• https://twitter.com/UjlakiMarci/status/1959923485053956542 · Publicação no Twitter
• https://twitter.com/DarkWebInformer/status/1960020639755956709 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1959881779210223911 · Publicação no Twitter
• https://twitter.com/offseq/status/1959881100504776914 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1959884717521506634 · Publicação no Twitter
• https://twitter.com/intheaetherr/status/1960026162542833749 · Publicação no Twitter
• https://t.me/CVEtracker/30824 · Publicação no Telegram