CVE-2025-69256

Résumé

Le Serverless Framework est un framework permettant d'utiliser AWS Lambda et d'autres services cloud managés pour créer des applications. À partir de la version 4.29.0 et avant la version 4.29.3, une vulnérabilité d'injection de commandes existe dans le package serveur MCP intégré du Serverless Framework (@serverless/mcp). Cette vulnérabilité n'affecte que les utilisateurs de la fonctionnalité expérimentale de serveur MCP (serverless mcp), ce qui représente moins de 0,1 % des utilisateurs du Serverless Framework. La CLI principale du Serverless Framework et les fonctionnalités de déploiement ne sont pas affectées. La vulnérabilité est causée par l'utilisation non assainie de paramètres d'entrée dans un appel à `child_process.exec`, permettant à un attaquant d'injecter des commandes système arbitraires. Une exploitation réussie peut conduire à une exécution de code à distance avec les privilèges du processus serveur. Le serveur construit et exécute des commandes shell en utilisant directement des entrées utilisateur non validées dans des chaînes de commande. Cela introduit la possibilité d'injection de métacaractères shell (`|`, `>`, `&&`, etc.). La version 4.29.3 corrige ce problème.

• CTT-Serverless-RCE-v1.0---Convergent-Time-Theory-Enhanced-MCP-ExploitExploit

  Serveur MCP Serverless Framework (CVE-2025-69256) Score de base : 9,4/10 → Score amélioré CTT : 9,9/10 Une vulnérabilité critique d'injection de commandes dans le serveur MCP (Model Context Protocol) de Serverless Framework, améliorée avec la résonance temporelle CTT pour une fiabilité d'exploitation et une évasion sans précédent.