CVE-2025-65200

KrytyczneCVSS 9.6

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.55%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

W localstack 4.9.2 odkryto problem pozwalający atakującym na wykonanie dowolnego kodu za pomocą spreparowanej treści hostowanej pod dostępnym w sieci adresem URL. Gdy taki URL zostanie przekazany jako templateURL do punktu końcowego _localstack/cloudformation/deploy, hostowana treść może zostać wykonana w kontekście kontenera Docker.

Ocena ryzyka

Atakujący może zdalnie wykonać dowolny kod w kontekście kontenera Docker localstack, co może prowadzić do przejęcia kontenera i dostępu do danych lub zasobów.

Rekomendacja

Zaktualizuj localstack do wersji zawierającej poprawkę i ogranicz dostęp do punktu końcowego _localstack/cloudformation/deploy oraz waliduj przekazywane adresy URL.

Inne podatności w localstack

CVE-2025-69723Średnie
W localstack w wersji 4.9.2 występuje podatność typu reflected cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki użytkownika za pomocą spreparowanego adresu URL.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in localstack 4.9.2 allowing attackers to execute arbitrary code via crafted content hosted on a web-accessable URL and when passed said URL in the the templateURL to the _localstack/cloudformation/deploy endpoint, the hosted content can get executed in the context of the docker container.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS