CVE-2025-54074
Kritik
Açıklama
Cherry Studio, birden fazla LLM sağlayıcısını destekleyen bir masaüstü istemcisidir. 1.2.5 ile 1.5.1 arasındaki sürümlerde Cherry Studio, HTTP Streamable modunda kötü amaçlı bir MCP sunucusuyla bağlantı kurulması sırasında OS Command Injection zafiyetine sahiptir. Saldırganlar, uyumlu OAuth yetkilendirme sunucusu uç noktalarına sahip kötü amaçlı bir MCP sunucusu kurabilir ve kurbanları buna bağlanmaya ikna ederek savunmasız istemcilerde OS command injection gerçekleştirilmesine yol açabilirler. Bu sorun 1.5.2 sürümünde düzeltilmiştir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünCherry-ai Cherry Studio
Yayın13 Ağu 2025
İlk görülme13 Ağu 2025
Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu
Nasıl düzeltilir
Güncelleyin
- cherry-ai cherry_studio1.5.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cherry-ai cherry_studio | 1.2.5 ≤ v < 1.5.2 | 1.5.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.