Se ha descubierto una vulnerabilidad de seguridad crítica en las herramientas de desarrollo del marco Nestjs que permite ataques de ejecución de código remoto (RCE) contra desarrolladores de JavaScript.
La falla, identificada como CVE-2025-54782, afecta el paquete @nestjs/Devtools-integración y permite a los sitios web maliciosos ejecutar código arbitrario en las máquinas locales de los desarrolladores a través de técnicas sofisticadas de escape de sandbox.
Control de llave
1.
2. Causado por un sandbox inseguro de JavaScript y una validación de Poor Cors.
3. Se requiere solución inmediata.
La vulnerabilidad revelada conlleva una calificación de gravedad crítica de 9.4 en la escala CVSS V4, destacando el peligro inmediato que representa para la comunidad de desarrollo.
Nestjs, descrito como “un marco de nodo progresivo.js para construir aplicaciones eficientes y escalables del lado del servidor”, tiene más de 4,100 seguidores en GitHub y se usa ampliamente en aplicaciones de grado empresarial.
Vulnerabilidad de Nestjs Sandbox RCE
La falla de seguridad proviene del punto final HTTP/Inspector/Interact de @Nestjs/Devtools-Integration Package, que lo procesa con un campo de código y lo ejecuta dentro de un nodo.js vm.runinnewcontext Sandbox.
La implementación vulnerable se parece mucho a la biblioteca de seguridad segura abandonada y no proporciona controles de seguridad adecuados.
El código problemático incluye una implementación de sandbox defectuosa:
La vulnerabilidad se agrava aún más por las inadecuadas protecciones de intercambio de recursos de origen cruzado (CORS).
Mientras que el servidor establece Access-Control-Allow- Origin en https: // devTools (.) Nestjs.com, no puede validar los encabezados de origen o tipo de contenido correctamente.
Los atacantes pueden explotar esta debilidad elaborando las solicitudes de publicación con el tipo de texto/contenido simple, sin pasar por alto las verificaciones de preplejo de CORS.
Factores de riesgo Productos afectados por Details@Nestjs/Devtools-Integration Package (NPM) ≤0.2.0ImpApacTremote Code Execution (RCE) Explote Prerrequisitos- Desarrollador Visitas Maliciosas Sitio web- Nestjs Devtools Integration Recibilado- Server de desarrollo LocallyCVSS V49.4
Investigador de seguridad Jlleitschuh, trabajando en nombre de Socket, demostrado El exploit utilizando un formulario HTML simple que puede desencadenar la vulnerabilidad cuando un desarrollador visita un sitio web malicioso.
La carga útil de prueba de concepto aprovecha la enumeración de la propiedad de JavaScript para escapar del sandbox y obtener acceso al módulo child_process de Node.js para la ejecución de comandos arbitrarios.
Los mantenedores de Nestjs han abordado este problema crítico en la versión 0.2.1 implementando una alternativa de sandboxing más segura utilizando @nyariv/sandboxjs, agregando una validación de origen adecuada e introduciendo mecanismos de autenticación para las conexiones DevTools.
Se recomienda encarecidamente a los desarrolladores que utilizan versiones afectadas (≤0.2.0) que actualicen de inmediato para mitigar el riesgo de ataques de ejecución de código remoto contra sus entornos de desarrollo.
Integre cualquiera. Pruebe 50 búsquedas de prueba gratuitas
