PT-2025-54216 · Serverless · Serverless Framework+1

Dellalibera

·

Publicado

2025-12-30

·

Atualizado

2026-01-28

·

CVE-2025-69256

CVSS v3.1

7.5

Alta

VetorAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Versões do Serverless Framework de 4.29.0 a 4.29.2
Descrição O Serverless Framework é um framework utilizado para construir aplicações com AWS Lambda e outros serviços de nuvem gerenciados. Existe um problema de injeção de comando no pacote de servidor MCP integrado do Serverless Framework (@serverless/mcp). Isso afeta usuários do recurso experimental de servidor MCP, representando menos de 0,1% dos usuários do Serverless Framework. A CLI principal do Serverless Framework e a funcionalidade de implantação não são afetadas. O problema decorre do uso não sanitizado de parâmetros de entrada dentro de uma chamada para child process.exec, permitindo que um atacante injete comandos de sistema arbitrários. A exploração bem-sucedida pode levar à execução remota de código com os privilégios do processo do servidor. O servidor constrói e executa comandos shell usando entrada de usuário não validada, criando um potencial para injeção de metacaracteres de shell, como |, > e &&.
Recomendações Atualize para a versão 4.29.3 ou superior do Serverless Framework.

Exploit

Correção

RCE

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2025-69256
GHSA-RWC2-F344-Q6W6

Produtos afetados

@Serverless/Mcp
Serverless Framework