CVE-2025-54068
Livewire vulnerabile all'esecuzione remota di comandi durante l'hydration dell'aggiornamento delle proprietà
- Pubblicato
- 17 lug 2025
- Aggiornato
- 23 mar 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 20 mar 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XAlto · prossimi 30 giorni
- Percentile
- 99,9%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
CISA noto sfruttato
Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.
Riepilogo
Livewire è un framework full-stack per Laravel. In Livewire v3 fino alla v3.6.3 inclusa, una vulnerabilità consente ad attaccanti non autenticati di ottenere l'esecuzione remota di comandi in scenari specifici. Il problema deriva da come vengono idratati determinati aggiornamenti delle proprietà dei componenti. Questa vulnerabilità è esclusiva di Livewire v3 e non interessa le versioni principali precedenti. Lo sfruttamento richiede che un componente sia montato e configurato in un modo particolare, ma non richiede autenticazione né interazione da parte dell'utente. Questo problema è stato corretto in Livewire v3.6.4. Tutti gli utenti sono fortemente incoraggiati ad aggiornare a questa versione o a una successiva il prima possibile. Non sono disponibili soluzioni alternative note.
Fonti
livewire/CVE-2025-54068
Livewire Component Property Hydration Remote Code Execution (CVE-2025-54068)
Vulhub vulnerability labsCondizioni dichiarate
- lab image version: vulhub/livewire:3.6.3(livewire/CVE-2025-54068/docker-compose.yml:services.web.image)
http/cves/2025/CVE-2025-54068.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.