CVE-2025-56803
Figma Desktop für Windows – Befehlsinjektion Figma Desktop für Windows Version 125.6.5 enthält eine Befehlsinjektions-Schwachstelle im lokalen...
- Veröffentlicht
- 03.09.2025
- Aktualisiert
- 08.09.2025
- CNA zuweisen
- mitre
- Beweise beobachtet
- 04.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 64,1 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
# Figma Desktop für Windows – Befehlsinjektion Figma Desktop für Windows Version 125.6.5 enthält eine Befehlsinjektions-Schwachstelle im lokalen Plugin-Loader. Ein Angreifer kann beliebige Betriebssystembefehle ausführen, indem er ein manipuliertes Build-Feld in der manifest.json des Plugins setzt. Dieses Feld wird ohne Validierung an child_process.exec übergeben, was eine mögliche RCE (Remote Code Execution) ermöglicht. HINWEIS: Dies wird vom Anbieter bestritten, da das Verhalten es nur einem lokalen Benutzer erlaubt, sich selbst über ein lokales Plugin anzugreifen. Der lokale Build-Prozess, der für den Angriff wesentlich ist, wird für Plugins, die mit der Figma Community geteilt werden, nicht ausgeführt.
Quellen
OS Command Injection-Schwachstelle durch Plugin-Ausführung in der Figma Desktop-Anwendung
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.