CVE-2025-56803
Figma Desktop per Windows versione 125.6.5 contiene una vulnerabilità di command injection nel caricatore di plugin locale. Un attaccante può eseguire...
- Pubblicato
- 3 set 2025
- Aggiornato
- 8 set 2025
- Assegnazione CNA
- mitre
- Evidenza osservata
- 4 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 64,1%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
# Figma Desktop per Windows versione 125.6.5 contiene una vulnerabilità di command injection nel caricatore di plugin locale. Un attaccante può eseguire comandi OS arbitrari impostando un campo build appositamente predisposto nel manifest.json del plugin. Questo campo viene passato a child_process.exec senza validazione, portando a una possibile RCE. NOTA: questa segnalazione è contestata dal fornitore perché il comportamento consente solo a un utente locale di attaccare sé stesso tramite un plugin locale. La procedura di build locale, essenziale per l'attacco, non viene eseguita per i plugin condivisi con la Figma Community.
Fonti
Vulnerabilità di iniezione di comandi del sistema operativo tramite esecuzione di plugin in Figma Desktop Application
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.