PT-2025-37089 · Mockoon · Mockoon

Risingzero · Publicado 2025-03-11 · Atualizado 2025-10-08 · CVE-2025-59049

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Mockoon anteriores à 9.2.0

Descrição: O Mockoon é uma ferramenta utilizada para projetar e executar APIs mock. Antes da versão 9.2.0, uma configuração de API mock para disponibilizar arquivos estáticos gera o nome do arquivo no servidor a partir da entrada do usuário, o que é vulnerável a Path Traversal e Inclusão de Arquivo Local (LFI). Isso permite que um invasor acesse qualquer arquivo dentro do sistema de arquivos do servidor mock. O problema pode ser particularmente relevante em instâncias de servidor hospedadas na nuvem.

Recomendações: Atualize para a versão 9.2.0 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-73

CWE-22

CWE-24

Identificadores relacionados

CVE-2025-59049

GHSA-W7F9-WQC4-3WXR

Produtos afetados

Mockoon

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/59xxx/CVE-2025-59049.json · Exploit
• https://github.com/mockoon/mockoon/security/advisories/GHSA-w7f9-wqc4-3wxr · Nota
• https://github.com/mockoon/mockoon/blob/1ed31c4059d7f757f6cb2a43e10dc81b0d9c55a9/packages/commons-server/src/libs/server/server.ts#L1400 · Nota
• https://github.com/mockoon/mockoon/commit/c7f6e23e87dc3b8cc44e5802af046200a797bd2e · Nota
• https://github.com/mockoon/mockoon/blob/1ed31c4059d7f757f6cb2a43e10dc81b0d9c55a9/packages/commons-server/src/libs/server/server.ts#L1551 · Nota
• https://github.com/mockoon/mockoon · Nota
• https://osv.dev/vulnerability/CVE-2025-59049 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-59049 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1965906886093328600 · Publicação no Twitter
• https://twitter.com/pdnuclei_bot/status/1976044980545183960 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1965920219102089319 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-w7f9-wqc4-3wxr · Aviso do Fabricante