CVE-2025-15061: Injeção de Comando do Sistema no fetchWithRetry do Framelink Figma MCP Server
A CVE-2025-15061 é uma falha de injeção de comando no método fetchWithRetry do Framelink Figma MCP Server, classificada como CWE-78. O registro descreve execução remota de código sem autenticação, no contexto da conta de serviço, com pontuação base CVSS de 9,8 informada pelo CNA. Não há versão corrigida listada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
A Zero Day Initiative publicou o aviso ZDI-25-1197, que descreve uma falha de injeção de comando no método fetchWithRetry do Framelink Figma MCP Server. A CVE é classificada como CWE-78 (Injeção de Comando do Sistema Operacional). Segundo o registro, o problema decorre da validação insuficiente de uma string fornecida pelo usuário antes de ela ser usada em uma chamada de sistema.
Impacto
- O registro descreve execução remota de código sem necessidade de autenticação.
- O código seria executado no contexto da conta de serviço sob a qual o servidor opera.
- O CNA informa pontuação base CVSS de 9,8 (crítica).
Produtos e versões afetadas
- Produto: Framelink Figma MCP Server.
- O registro lista um único identificador de versão afetada, o commit de origem 72cae181ecf15b85787b9fe3bb14000d80a6b2df, e nenhum intervalo de versões.
- Nenhuma versão corrigida consta no registro. Isso não significa que não exista correção; significa apenas que o registro não a informa.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE nos dados consultados, portanto não há registro de exploração ativa ali.
- Os dados SSVC do registro classificam a exploração como prova de conceito, o que sugere que código de exploração pode existir. Isso não é evidência de ataques em circulação.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Consulte o aviso do fornecedor GHSA-gxw4-4fc5-9gr5 para verificar o status atual das correções e das versões afetadas.
- Identifique todas as implantações do servidor, incluindo estações de desenvolvimento e hosts compartilhados, e confirme qual commit ou release cada uma executa.
- Enquanto não houver correção confirmada, restrinja a exposição de rede do serviço e evite executá-lo com privilégios elevados.
- Revise como a entrada fornecida pelo usuário chega a chamadas de sistema em eventuais customizações locais.
Orientações de detecção
- Monitore hosts que executam o servidor em busca de processos filhos inesperados gerados pelo processo do serviço.
- Revise os logs em busca de requisições incomuns ao servidor, especialmente as originadas de redes não confiáveis.
- Acompanhe alterações no pacote instalado ou na versão do commit.
Limitações das informações disponíveis
- O registro não descreve em detalhe o caminho de código vulnerável e não fornece versão corrigida nem patch.
- Os valores de EPSS são informados conforme o registro. A data do EPSS é posterior à data de publicação, por isso deve ser verificada na fonte.
- O registro não informa com que frequência o servidor fica exposto a redes não confiáveis.
Perguntas frequentes
Esta vulnerabilidade exige autenticação?
Segundo o registro, não é necessária autenticação para explorar esta vulnerabilidade. O CNA informa pontuação base CVSS de 9,8.
Há exploração ativa conhecida desta CVE?
O catálogo KEV da CISA não lista esta CVE nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC indicam status de prova de conceito, o que não é evidência de ataques.
Qual versão está corrigida?
O registro não informa versão corrigida. Consulte o aviso do fornecedor GHSA-gxw4-4fc5-9gr5 para obter informações atuais sobre correções.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.