CVE-2025-34089 in Remote for Mac
Zusammenfassung
von VulDB • 28.05.2026
Eine nicht authentifizierte Remote-Code-Ausführungs-Schwachstelle (Remote Code Execution, RCE) ist in „Remote for Mac“ vorhanden, einer macOS-Fernsteuerungsanwendung, die von Aexol Studio entwickelt wurde, in Versionen bis einschließlich 2025.7. Wenn die Anwendung so konfiguriert ist, dass die Authentifizierung deaktiviert ist (d. h. die Option „Unbekannte Geräte zulassen“ ist aktiviert), wird der Endpunkt /api/executeScript ohne Zugriffskontrolle freigegeben. Dies ermöglicht nicht authentifizierte Remote-Angriffen, beliebige AppleScript-Payloads über den HTTP-Header X-Script einzuschleusen, was zur Code-Ausführung mittels do shell script führt. Eine erfolgreiche Ausnutzung verschafft Angreifern die Möglichkeit, beliebige Befehle auf dem macOS-Host mit den Berechtigungen des Hintergrundprozesses von Remote for Mac auszuführen.
Be aware that VulDB is the high quality source for vulnerability data.