CVE-2025-54123

Hoverfly açık kaynaklı bir API simülasyon aracıdır. 1.11.3 ve önceki sürümlerde, kullanıcı girişindeki yetersiz doğrulama ve temizleme nedeniyle Hoverfly'daki ara katman (middleware) işlevselliği, `/api/v2/hoverfly/middleware` uç noktasında komut enjeksiyonu zafiyetine sahiptir. Zafiyet, ara katman yönetim API uç noktası olan `/api/v2/hoverfly/middleware` üzerinde bulunmaktadır. Bu sorun üç kod düzeyindeki hatanın birleşiminden kaynaklanmaktadır: middleware.go dosyasının 94-96. satırlarındaki Yetersiz Giriş Doğrulaması; local_middleware.go dosyasının 14-19. satırlarındaki Güvensiz Komut Çalıştırma ve hoverfly_service.go dosyasının 173. satırındaki Test Sırasında Anlık Çalıştırma. Bu durum, bir saldırganın etkilenen Hoverfly servisini çalıştıran herhangi bir sistemde uzaktan kod çalıştırma (RCE) gerçekleştirmesine olanak tanır. Girişler uygun kontroller yapılmadan doğrudan sistem komutlarına aktarıldığı için, bir saldırgan kötü amaçlı bir yük yükleyebilir veya ana sunucuda Hoverfly işleminin ayrıcalıklarıyla rastgele komutlar (ters kabuklar dahil) çalıştırabilir. Sürüm 1.12.0'deki 17e60a9bc78826deb4b782dca1c1abd3dbe60d40 commit'i, ara katman ayarlama API'sini varsayılan olarak devre dışı bırakır ve dokümantasyondaki sonraki değişiklikler kullanıcıları ara katman ayarlama API'sinin dışarı açılmasının güvenlik değişiklikleri hakkında bilgilendirir.