CVE-2025-69256

Resumen

El Serverless Framework es un framework para usar AWS Lambda y otros servicios en la nube gestionados para construir aplicaciones. A partir de la versión 4.29.0 y antes de la versión 4.29.3, existe una vulnerabilidad de inyección de comandos en el paquete de servidor MCP integrado del Serverless Framework (@serverless/mcp). Esta vulnerabilidad solo afecta a los usuarios de la característica experimental del servidor MCP (serverless mcp), lo que representa menos del 0.1% de los usuarios del Serverless Framework. La CLI y la funcionalidad de despliegue principales del Serverless Framework no se ven afectadas. La vulnerabilidad es causada por el uso no saneado de parámetros de entrada dentro de una llamada a `child_process.exec`, lo que permite a un atacante inyectar comandos de sistema arbitrarios. La explotación exitosa puede llevar a la ejecución remota de código bajo los privilegios del proceso del servidor. El servidor construye y ejecuta comandos de shell utilizando entrada de usuario no validada directamente dentro de cadenas de línea de comandos. Esto introduce la posibilidad de inyección de metacaracteres de shell ('|', '>', '&&', etc.). La versión 4.29.3 corrige el problema.

• CTT-Serverless-RCE-v1.0---Convergent-Time-Theory-Enhanced-MCP-ExploitExploit

  Serverless Framework MCP Server (CVE-2025-69256) Puntuación base: 9.4/10 → Puntuación mejorada CTT: 9.9/10 Una vulnerabilidad crítica de inyección de comandos en el servidor MCP (Model Context Protocol) de Serverless Framework, mejorada con resonancia temporal CTT para una fiabilidad y evasión de explotación sin precedentes.