CVE-2025-34089 in Remote for Mac
要約
〜によって VulDB • 2026年05月11日
Aexol Studioが開発したmacOS用リモートコントロールユーティリティ「Remote for Mac」の、バージョン2025.7以前には、認証不要のリモートコード実行（RCE）脆弱性が存在します。アプリケーションで認証が無効化されている場合（つまり、「不明なデバイスを許可」オプションが有効になっている場合）、/api/executeScriptエンドポイントがアクセス制御なしで公開されます。これにより、認証不要のリモート攻撃者はX-Script HTTPヘッダー経由で任意のAppleScriptペイロードを注入でき、do shell scriptを使用してコード実行が可能になります。攻撃が成功すると、攻撃者はRemote for Macのバックグラウンドプロセスの権限でmacOSホスト上で任意のコマンドを実行できるようになります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.