CVE-2025-15246

ŚrednieCVSS 6.3

Opublikowano: 30/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wykryto podatność w aizuda snail-job do wersji 1.7.0 na macOS. Dotyczy ona funkcji FurySerializer.deserialize w komponencie API. Manipulacja argumentem argsStr powoduje deserializację. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Atakujący może zdalnie wywołać niebezpieczną deserializację, co może prowadzić do wykonania dowolnego kodu na serwerze lub przejęcia kontroli nad aplikacją.

Rekomendacja

Zaktualizuj snail-job do najnowszej wersji, która zawiera poprawkę. Ogranicz dostęp do API i filtruj dane wejściowe przekazywane do deserializacji.

Inne podatności w aizuda snail-job

CVE-2025-14674Średnie
W narzędziu aizuda snail-job do wersji 1.6.0 wykryto podatność na iniekcję w funkcji QLExpressEngine.doEval w pliku QLExpressEngine.java. Atak może być przeprowadzony zdalnie. Problem został naprawiony w wersji 1.7.0-beta1.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in aizuda snail-job up to 1.7.0 on macOS. Affected by this vulnerability is the function FurySerializer.deserialize of the component API. This manipulation of the argument argsStr causes deserialization. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS