BDU:2025-13414

Опубликовано: 01 авг. 2025

Источник: fstec

CVSS3: 9.6

CVSS2: 8.3

EPSS Средний

Описание

Уязвимость пакета интеграции devtools-integration платформы Nest для создания масштабируемых серверных приложений Node.js связана с подделкой межсайтовых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

NestJs

Наименование ПО

Devtools-Integration

Nest

Версия ПО

до 0.2.1 (Devtools-Integration)

- (Nest)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,6)

Критический уровень опасности (оценка CVSS 4.0 составляет 9,4)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/nestjs/nest/security/advisories/GHSA-85cg-cmq5-qjm7

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-54782
CVE

EPSS

Процентиль: 95%

0.17543

Средний

9.6 Critical

CVSS3

8.3 High

CVSS2

Связанные уязвимости

CVE-2025-54782

CVSS3: 8.8

nvd

6 месяцев назад

Nest is a framework for building scalable Node.js server-side applications. In versions 0.2.0 and below, a critical Remote Code Execution (RCE) vulnerability was discovered in the @nestjs/devtools-integration package. When enabled, the package exposes a local development HTTP server with an API endpoint that uses an unsafe JavaScript sandbox (safe-eval-like implementation). Due to improper sandboxing and missing cross-origin protections, any malicious website visited by a developer can execute arbitrary code on their local machine. The package adds HTTP endpoints to a locally running NestJS development server. One of these endpoints, /inspector/graph/interact, accepts JSON input containing a code field and executes the provided code in a Node.js vm.runInNewContext sandbox. This is fixed in version 0.2.1.

GHSA-85cg-cmq5-qjm7

github