PT-2025-38252 · Parcel · Parcel

R4356Th · Publicado 2025-09-17 · Atualizado 2025-12-30 · CVE-2025-56648

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas versões do parcel 2.0.0-alpha e anteriores

Descrição Existe uma vulnerabilidade no Parcel que permite que sites maliciosos enviem XMLHTTPRequests para o servidor de desenvolvimento da aplicação e leiam a resposta, potencialmente levando ao roubo de código-fonte quando desenvolvedores visitam esses sites. Isso ocorre durante a atividade do desenvolvedor enquanto trabalha em um projeto com o servidor de desenvolvimento do Parcel em execução.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Origin Validation Error

Enumeração de Fraquezas

CWE-346

Identificadores relacionados

CVE-2025-56648

GHSA-QM9P-F9J5-W83W

Produtos afetados

Parcel

Referências · 16

• 🔥 https://github.com/parcel-bundler/parcel/issues/10216 · Exploit
• 🔥 https://gist.github.com/R4356th/41f468def606b2406e36f7193f5322b8 · Exploit
• https://github.com/parcel-bundler/parcel/commit/9e2f6f1377123cff3b82f6dde4e20336efc846a1 · Nota
• https://github.com/parcel-bundler/parcel/commit/4bc56e3242a85491c7edf589966e9b44c6330c49 · Nota
• https://github.com/parcel-bundler/parcel/discussions/10089 · Nota
• https://github.com/parcel-bundler/parcel/pull/10138 · Nota
• https://github.com/parcel-bundler/parcel · Nota
• https://twitter.com/redmin78/status/1968342902037438749 · Publicação no Twitter
• https://twitter.com/threatcluster/status/2005942161905156140 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-56648 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-56648 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1969110933604843636 · Publicação no Twitter
• https://twitter.com/redmin78/status/1968721600305328364 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-qm9p-f9j5-w83w · Aviso do Fabricante
• https://t.me/cveNotify/135718 · Publicação no Telegram