PT-2025-37088 · Hoverfly · Hoverfly

Kr1Shna4Garwal · Publicado 2025-09-10 · Atualizado 2026-05-10 · CVE-2025-54123

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do Hoverfly 1.11.3 e anteriores

Descrição: O Hoverfly está vulnerável a um problema de injeção de comando no endpoint /api/v2/hoverfly/middleware devido à validação e sanitização insuficientes da entrada do usuário. Esta vulnerabilidade decorre de uma combinação de falhas: validação de entrada insuficiente, execução de comando insegura e execução imediata durante testes. Um atacante pode explorar esta falha para obter execução remota de código (RCE) em sistemas que executam o serviço Hoverfly vulnerável, potencialmente executando comandos arbitrários com os privilégios do processo Hoverfly.

Recomendações: Atualize para a versão 1.12.0 ou posterior.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

CWE-20

Identificadores relacionados

CVE-2025-54123

GHSA-R4H8-HFP2-GGMF

GO-2025-3944

OPENSUSE-SU-2025:15564-1

SUSE-SU-2025:03289-1

Produtos afetados

Hoverfly

Referências · 56

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54123.json · Exploit
• 🔥 https://github.com/SpectoLabs/hoverfly/security/advisories/GHSA-r4h8-hfp2-ggmf · Exploit
• https://github.com/SpectoLabs/hoverfly/blob/master/core/middleware/middleware.go#L93 · Nota
• https://github.com/SpectoLabs/hoverfly/blob/master/core/hoverfly_service.go#L173 · Nota
• https://github.com/SpectoLabs/hoverfly/blob/master/core/middleware/local_middleware.go#L13 · Nota
• https://github.com/SpectoLabs/hoverfly · Nota
• https://github.com/SpectoLabs/hoverfly/commit/a9d4da7bd7269651f54542ab790d0c613d568d3e · Correção
• https://github.com/SpectoLabs/hoverfly/commit/17e60a9bc78826deb4b782dca1c1abd3dbe60d40 · Correção
• https://github.com/SpectoLabs/hoverfly/pull/1203 · Nota
• https://suse.com/security/cve/CVE-2025-58437 · Nota
• https://osv.dev/vulnerability/CVE-2025-54123 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-8077 · Nota
• https://twitter.com/CVEnew/status/1965920221476126934 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-58157 · Nota
• https://suse.com/security/cve/CVE-2025-54376 · Nota