CVE-2025-56647mediumCWE-1385

CVE-2025-56647

Publicada el

Seguir esta CVE+ Monitorear @farmfe/core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 0.2%
En resumen

El servidor de desarrollo de Farm no valida el origen de las conexiones WebSocket, permitiendo que atacantes espíen desarrolladores y roben código fuente a través de páginas falsas.

Detalle técnico

La falta de validación de origen en el servidor WebSocket utilizado para recarga de módulos en caliente (HMR) en @farmfe/core anterior a la versión 1.7.6 permite conexiones WebSocket entre orígenes. Un atacante puede servir una página maliciosa a un desarrollador, establecer una conexión WebSocket no autorizada con el servidor HMR e interceptar el código fuente transmitido a través del canal sin validar.

Resumen generado y traducido por IA a partir de la descripción oficial.
npm @farmfe/core before 1.7.6 is Missing Origin Validation in WebSocket. The development (hot module reloading) server does not validate origin when connecting to a WebSocket client. This allows attackers to surveil developers running Farm who visit their webpage and steal source code that is leaked by the WebSocket server.
CVSS:3.1/AC:L/AV:N/A:N/C:H/I:N/PR:N/S:U/UI:R
Productos afectados
n/a · n/a