CVE-2025-54074 in cherry-studio

الملخص

بحسب VulDB • 27/06/2026

تُعد Cherry Studio عميل سطح مكتب يدعم مزودي خدمات نماذج لغوية كبيرة (LLM) متعددين. تتأثر الإصدارات من 1.2.5 إلى 1.5.1 بضعف حقن أوامر النظام التشغيلي (OS Command Injection) أثناء الاتصال بخادم MCP خبيث في وضع HTTP Streamable. يمكن للمهاجمين إعداد خادم MCP خبيث يحتوي على نقاط نهاية لخادم تفويض OAuth متوافق، وخداع الضحايا للاتصال به، مما يؤدي إلى حقن أوامر نظام تشغيلية في العملاء المتأثرين. تم إصلاح هذه المشكلة في الإصدار 1.5.2.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• مسؤول: GitHub M
• حجز: 16/07/2025
• إفشاء: 13/08/2025
• الاعتدال: تمت الموافقة
• إدخال: VDB-319917
• CPE: جاهز
• CWE: CWE-78 (مؤكد)
• CVSS: 9.8 (NVD)
• EPSS: 0.02144
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-54074
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-54074
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-54074/