PT-2025-45397 · Vercel · Vercel Ai Sdk

CVE-2025-48985 · Publicado 2025-11-07 · Atualizado 2025-12-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Vercel AI SDK versões 5.0.52, 5.1.0-beta.9 e 6.0.0-beta

Descrição Existe uma falha no Vercel AI SDK que pode permitir que usuários contornem listas brancas de tipos de arquivo durante uploads de arquivos. Esse bypass pode potencialmente levar a uploads de arquivos não autorizados.

Recomendações Atualize para a versão 5.0.52 do Vercel AI SDK. Atualize para a versão 5.1.0-beta.9 do Vercel AI SDK. Atualize para a versão 6.0.0-beta do Vercel AI SDK.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-20

CWE-682

Identificadores relacionados

CVE-2025-48985

GHSA-RWVC-J5JR-MGVH

Produtos afetados

Vercel Ai Sdk

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48985.json · Exploit
• https://github.com/vercel/ai · Nota
• https://github.com/vercel/ai/commit/930399bb9839a8baf3d349614106d78268775eed · Correção
• https://github.com/vercel/ai/issues/8881 · Nota
• https://reddit.com/r/VulnMatter/comments/1ov498g/resumen_diario_de_vulnerabilidades_12112025 · Publicação no Reddit
• https://t.me/CVEtracker/36733 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1otcofi/resumen_diario_de_vulnerabilidades_10112025 · Publicação no Reddit
• https://vercel.com/changelog/cve-2025-48985-input-validation-bypass-on-ai-sdk · Aviso do Fabricante
• https://twitter.com/grok/status/2005593060067942613 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-48985 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48985 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1ouaay3/resumen_diario_de_vulnerabilidades_11112025 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-rwvc-j5jr-mgvh · Aviso do Fabricante
• https://twitter.com/CheckmarxZero/status/1988355555761528904 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1986651579882393753 · Publicação no Twitter