CVE-2025-50460

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

01/08/2025

Última modificación:

04/08/2025

Descripción

Existe una vulnerabilidad de ejecución remota de código (RCE) en el proyecto ms-swift versión 3.3.0 debido a una deserialización insegura en tests/run.py mediante yaml.load() de la librería PyYAML (versiones = 5.3.1). Si un atacante controla el contenido del archivo de configuración YAML transferido al parámetro --run_config, se puede ejecutar código arbitrario durante la deserialización. Esto puede comprometer completamente el sistema. La vulnerabilidad se activa al cargar un archivo YAML malicioso, lo que permite la ejecución de comandos Python arbitrarios como os.system(). Se recomienda actualizar PyYAML a la versión 5.4 o superior y usar yaml.safe_load() para mitigar el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

CVE-2025-50460

Descripción

Impacto

Referencias a soluciones, herramientas e información