CVE-2025-54068: Livewire vulnerabile all'esecuzione remota di comandi durante l'hydration dell'aggiornamento delle proprietà | Kitploit

CVE-2025-54068

CriticoPubblicato

Livewire vulnerabile all'esecuzione remota di comandi durante l'hydration dell'aggiornamento delle proprietà

Pubblicato: 17 lug 2025
Aggiornato: 23 mar 2026
Assegnazione CNA: GitHub_M
Evidenza osservata: 20 mar 2026

CVSS primario

9,2/ 10Critico

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Stima della probabilità EPSS

97,1%

Alto · prossimi 30 giorni

Percentile: 99,9%
Data del modello: 21 set 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

CISA noto sfruttato

Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.

Riepilogo

Livewire è un framework full-stack per Laravel. In Livewire v3 fino alla v3.6.3 inclusa, una vulnerabilità consente ad attaccanti non autenticati di ottenere l'esecuzione remota di comandi in scenari specifici. Il problema deriva da come vengono idratati determinati aggiornamenti delle proprietà dei componenti. Questa vulnerabilità è esclusiva di Livewire v3 e non interessa le versioni principali precedenti. Lo sfruttamento richiede che un componente sia montato e configurato in un modo particolare, ma non richiede autenticazione né interazione da parte dell'utente. Questo problema è stato corretto in Livewire v3.6.4. Tutti gli utenti sono fortemente incoraggiati ad aggiornare a questa versione o a una successiva il prima possibile. Non sono disponibili soluzioni alternative note.

Fonti

CVE-2025-54068Exploit
Uno strumento progettato per sfruttare CVE-2025-54068 e l'Esecuzione Remota di Comandi del progetto Livewire.
LivepyreExploit
Uno strumento progettato per sfruttare CVE-2025-54068 e Remote Command Execution se la APP_KEY del progetto Livewire è nota.
CVE-2025-54068-livewire

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.