CVE-2025-69256

Resumo

O Serverless Framework é um framework para usar AWS Lambda e outros serviços de nuvem gerenciados para construir aplicações. A partir da versão 4.29.0 e antes da versão 4.29.3, existe uma vulnerabilidade de injeção de comandos no pacote MCP server integrado do Serverless Framework (@serverless/mcp). Esta vulnerabilidade afeta apenas usuários do recurso experimental de MCP server (serverless mcp), que representa menos de 0.1% dos usuários do Serverless Framework. A CLI principal do Serverless Framework e a funcionalidade de implantação não são afetadas. A vulnerabilidade é causada pelo uso não sanitizado de parâmetros de entrada em uma chamada a `child_process.exec`, permitindo que um atacante injete comandos arbitrários do sistema. A exploração bem-sucedida pode levar à execução remota de código com os privilégios do processo do servidor. O servidor constrói e executa comandos shell usando entrada do usuário não validada diretamente em strings de linha de comando. Isso introduz a possibilidade de injeção de metacaracteres de shell (`|`, `>`, `&&`, etc.). A versão 4.29.3 corrige o problema.

• CTT-Serverless-RCE-v1.0---Convergent-Time-Theory-Enhanced-MCP-ExploitExploit

  Serverless Framework MCP Server (CVE-2025-69256) Pontuação base: 9.4/10 → Pontuação aprimorada da CTT: 9.9/10 Uma vulnerabilidade crítica de injeção de comandos no servidor MCP (Model Context Protocol) do Serverless Framework, aprimorada com ressonância temporal da CTT para confiabilidade e evasão de exploração sem precedentes.