CVE-2025-54074
Kritik
Təsvir
Cherry Studio çox sayda LLM provayderini dəstəkləyən masaüstü kliyentdir. Versiya 1.2.5-dən 1.5.1-ə qədər olan versiyalarda Cherry Studio, HTTP Streamable rejimində zərərli MCP serveri ilə bağlantı zamanı Əməliyyat Sistemi Əmr İnyeksiyasına (OS Command Injection) qarşı həssasdır. Hücumçular uyğun OAuth avtorizasiya serveri son nöqtələri olan zərərli MCP serveri qura bilər və qurbanları ona qoşulmağa vadar edərək, həssas kliyentlərdə ƏS əmr inyeksiyasına səbəb ola bilərlər. Bu problem 1.5.2 versiyasında aradan qaldırılmışdır.
CiddilikKritik
CVSS9.8
İstismar ehtimalı—
MəhsulCherry-ai Cherry Studio
Dərc13 avq 2025
İlk görülmə13 avq 2025
Zəiflik növüCWE-78Əməliyyat sistemi əmr inyeksiyası
Necə düzəltmək olar
Yeniləyin
- cherry-ai cherry_studio1.5.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cherry-ai cherry_studio | 1.2.5 ≤ v < 1.5.2 | 1.5.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.