CVE-2025-54068
Livewire में प्रॉपर्टी अपडेट हाइड्रेशन के दौरान रिमोट कमांड निष्पादन की भेद्यता
- प्रकाशित
- 17 जुल॰ 2025
- अद्यतन
- 23 मार्च 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 20 मार्च 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Livewire, Laravel के लिए एक फुल-स्टैक फ्रेमवर्क है। Livewire v3 में, v3.6.3 तक और उसमें शामिल, एक कमजोरी मौजूद है जो बिना प्रमाणीकरण वाले हमलावरों को विशिष्ट परिदृश्यों में रिमोट कमांड निष्पादन प्राप्त करने की अनुमति देती है। यह समस्या इस बात से उत्पन्न होती है कि कुछ कंपोनेंट प्रॉपर्टी अपडेट को कैसे हाइड्रेट किया जाता है। यह कमजोरी केवल Livewire v3 के लिए विशिष्ट है और पिछले प्रमुख संस्करणों को प्रभावित नहीं करती है। शोषण के लिए आवश्यक है कि एक कंपोनेंट को एक विशेष तरीके से माउंट और कॉन्फ़िगर किया गया हो, लेकिन इसके लिए प्रमाणीकरण या उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं है। इस समस्या को Livewire v3.6.4 में पैच कर दिया गया है। सभी उपयोगकर्ताओं से दृढ़तापूर्वक अनुरोध है कि वे जल्द से जल्द इस संस्करण या बाद के संस्करण में अपग्रेड करें। कोई ज्ञात वर्कअराउंड उपलब्ध नहीं हैं।
स्रोत
livewire/CVE-2025-54068
Livewire Component Property Hydration Remote Code Execution (CVE-2025-54068)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/livewire:3.6.3(livewire/CVE-2025-54068/docker-compose.yml:services.web.image)
http/cves/2025/CVE-2025-54068.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।