PT-2025-45450 · Apache+2 · Apache Tomcat+3

CVE-2025-63690 · Publicado 2025-11-07 · Atualizado 2025-11-12

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas pig-mesh versões 3.8.2 e anteriores

Descrição O software contém uma falha que permite a execução remota de código. Especificamente, ao configurar tarefas agendadas na função de gerenciamento do Quartz, localizada no módulo de gerenciamento do sistema, é possível executar classes Java arbitrárias que possuem um construtor sem parâmetros e métodos que aceitam um parâmetro do tipo String via reflexão. Isso pode ser explorado para executar comandos utilizando o método eval dentro da classe jakarta.el.ELProcessor do Tomcat. A vulnerabilidade surge da capacidade de executar qualquer classe Java com um construtor sem parâmetros e seus métodos com um parâmetro do tipo String via reflexão.

Recomendações Versões anteriores à 3.8.2 devem ser atualizadas.

Exploit

Correção

Enumeração de Fraquezas

CWE-470

Identificadores relacionados

CVE-2025-63690

Produtos afetados

Quartz

Apache Tomcat

Jakarta.El.Elprocessor

Pig-Mesh

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/63xxx/CVE-2025-63690.json · Exploit
• 🔥 https://github.com/LockeTom/vulnerability/blob/main/md/pig_Remote_Code_Execution_Vulnerability.md · Exploit
• https://github.com/pig-mesh/pig/issues/1199 · Nota
• https://osv.dev/vulnerability/CVE-2025-63690 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-63690 · Nota de Segurança
• https://twitter.com/cracbot/status/1988562470219489461 · Publicação no Twitter