CVE-2025-34089 in Remote for Mac
Résumé
par VulDB • 28/05/2026
Une vulnérabilité d'exécution de code à distance (RCE) non authentifiée existe dans Remote for Mac, un utilitaire de contrôle à distance pour macOS développé par Aexol Studio, dans les versions allant jusqu'à la 2025.7 incluse. Lorsque l'application est configurée avec l'authentification désactivée (c'est-à-dire que l'option « Autoriser les appareils inconnus » est activée), le point de terminaison /api/executeScript est exposé sans contrôle d'accès. Cela permet aux attaquants distants non authentifiés d'injecter des charges utiles AppleScript arbitraires via l'en-tête HTTP X-Script, entraînant une exécution de code à l'aide de do shell script. Une exploitation réussie permet aux attaquants d'exécuter des commandes arbitraires sur l'hôte macOS avec les privilèges du processus en arrière-plan de Remote for Mac.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.