CVE-2025-0868
Ejecución remota de código en DocsGPT
- Publicado
- 20 feb 2025
- Actualizado
- 3 oct 2025
- Asignación de CNA
- CERT-PL
- Evidencia observada
- 9 abr 2025
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XModerado · próximos 30 días
- Percentil
- 97,0 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se ha encontrado una vulnerabilidad en DocsGPT que podría provocar la ejecución remota de código (RCE). Debido al análisis incorrecto de datos JSON mediante eval(), un atacante no autorizado podría enviar código Python arbitrario para que se ejecute a través del endpoint /api/remote. Este problema afecta a DocsGPT: desde la versión 0.8.1 hasta la 0.12.0.
Fuentes
http/cves/2025/CVE-2025-0868.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- CVE-2025-0868Exploit
Informe detallado de pruebas de penetración y demostración de exploit para CVE-2025-0868, un RCE crítico en DocsGPT mediante eval() inseguro, que incluye configuración de laboratorio, creación de payloads y estrategias de mitigación.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.