PT-2025-50222 · Ladybug · Ladybug

R1Ckyz · Publicado 2025-12-09 · Atualizado 2025-12-17 · CVE-2025-66214

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Ladybug anteriores à 3.0-20251107.114628

Descrição O Ladybug é uma ferramenta que adiciona depuração baseada em mensagens, testes unitários, de sistema e de regressão a aplicações Java. O software contém os endpoints de API /iaf/ladybug/api/report/{storage} e /iaf/ladybug/api/report/upload, que permitem o upload de arquivos XML compactados com gzip com conteúdo controlável pelo usuário. O sistema desserializa esses arquivos XML, potencialmente permitindo que um atacante obtenha Execução Remota de Código (RCE) ao enviar payloads XML especialmente elaborados e obter acesso ao servidor alvo. Os parâmetros vulneráveis são o conteúdo dos arquivos XML carregados.

Recomendações Atualize para a versão 3.0-20251107.114628.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-66214

GHSA-F9FH-R3CV-398F

Produtos afetados

Ladybug

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/66xxx/CVE-2025-66214.json · Exploit
• 🔥 https://github.com/wearefrank/ladybug/security/advisories/GHSA-f9fh-r3cv-398f · Exploit
• https://osv.dev/vulnerability/CVE-2025-66214 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-66214 · Nota de Segurança
• https://t.me/cveNotify/146087 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1998732823692534041 · Publicação no Twitter