CVE-2025-34089 in Remote for Mac
Resumen
por VulDB • 2026-05-28
Existe una vulnerabilidad de ejecución remota de código (RCE) no autenticada en Remote for Mac, una utilidad de control remoto para macOS desarrollada por Aexol Studio, en las versiones hasta la 2025.7 incluida. Cuando la aplicación está configurada con la autenticación deshabilitada (es decir, la opción "Permitir dispositivos desconocidos" está habilitada), el endpoint /api/executeScript queda expuesto sin control de acceso. Esto permite que atacantes remotos no autenticados inyecten cargas útiles de AppleScript arbitrarias a través del encabezado HTTP X-Script, lo que resulta en la ejecución de código mediante do shell script. La explotación exitosa otorga a los atacantes la capacidad de ejecutar comandos arbitrarios en el host macOS con los privilegios del proceso en segundo plano de Remote for Mac.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.