CVE-2025-56647
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
13Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 6.5epss 0.2%
Em resumo
O servidor de desenvolvimento do Farm não verifica a origem das conexões WebSocket, permitindo que atacantes espionem desenvolvedores e roubem código-fonte através de páginas falsas.
Detalhe técnico
A falta de validação de origem no servidor WebSocket usado para recarga de módulos quentes (HMR) no @farmfe/core anterior à versão 1.7.6 permite conexões WebSocket de origem cruzada. Um atacante pode servir uma página maliciosa a um desenvolvedor, estabelecer uma conexão WebSocket não autorizada com o servidor HMR e interceptar o código-fonte transmitido pelo canal sem validação.
Resumo gerado e traduzido por IA a partir da descrição oficial.
npm @farmfe/core before 1.7.6 is Missing Origin Validation in WebSocket. The development (hot module reloading) server does not validate origin when connecting to a WebSocket client. This allows attackers to surveil developers running Farm who visit their webpage and steal source code that is leaked by the WebSocket server.
CVSS:3.1/AC:L/AV:N/A:N/C:H/I:N/PR:N/S:U/UI:R
Produtos afetados
n/a · n/a