CVE-2025-54782criticalexplotación observadaCWE-352CWE-77CWE-78

CVE-2025-54782: fallo crítico en nestjs nest

@nestjs/devtools-integration's CSRF to Sandbox Escape Allows for RCE against JS Developers

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear nest.js+ Monitorear @nestjs/devtools-integration

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

97Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 9.4epss 47%
de la publicación al armael mismo día
Publicada en NVD1 ago
1ª PoC25 jul
VulnCheck+17d
En resumen

Una herramienta de desarrollo para NestJS ejecuta código inseguro en las máquinas de los desarrolladores cuando visitan sitios maliciosos. Un atacante puede ejecutar comandos arbitrarios en la computadora de un desarrollador engañándolo para que visite una página manipulada mientras la herramienta está activa.

Detalle técnico

El paquete @nestjs/devtools-integration expone un endpoint HTTP local (/inspector/graph/interact) que ejecuta JavaScript proporcionado por el usuario en una sandbox débil (vm.runInNewContext) sin protección CSRF. Un sitio malicioso puede enviar solicitudes cross-origin para ejecutar código Node.js arbitrario en el entorno local del desarrollador, logrando RCE por la falta de validación de origen y aislamiento insuficiente.

Resumen generado y traducido por IA a partir de la descripción oficial.
Nest is a framework for building scalable Node.js server-side applications. In versions 0.2.0 and below, a critical Remote Code Execution (RCE) vulnerability was discovered in the @nestjs/devtools-integration package. When enabled, the package exposes a local development HTTP server with an API endpoint that uses an unsafe JavaScript sandbox (safe-eval-like implementation). Due to improper sandboxing and missing cross-origin protections, any malicious website visited by a developer can execute arbitrary code on their local machine. The package adds HTTP endpoints to a locally running NestJS development server. One of these endpoints, /inspector/graph/interact, accepts JSON input containing a code field and executes the provided code in a Node.js vm.runInNewContext sandbox. This is fixed in version 0.2.1.
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Productos afectados
nestjs · nest
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — nestjs nest

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-102281HIGHNest: Remote process termination via a deeply nested microservice message patternEPSS 0.6%CVE-2026-54281HIGHNest: Middleware Bypass on Fastify via Trailing SlashEPSS 0.5%CVE-2025-69211MEDIUMNest has a Fastify URL Encoding Middleware Bypass (TOCTOU)EPSS 0.4%CVE-2026-33011HIGHNest Fastify HEAD Request Middleware BypassEPSS 0.4%CVE-2026-40879HIGHNest: DoS via Recursive handleData in JsonSocket (TCP Transport)EPSS 0.3%CVE-2026-35515MEDIUM@nestjs/core Improperly Neutralizes Special Elements in Output Used by a Downstream Component ('Injection')EPSS 0.2%