CVE-2025-34089 in Remote for Mac
Sumário
de VulDB • 28/05/2026
Existe uma vulnerabilidade de execução remota de código (RCE) não autenticada no Remote for Mac, uma ferramenta de controle remoto para macOS desenvolvida pela Aexol Studio, nas versões até 2025.7, inclusive. Quando o aplicativo está configurado com autenticação desativada (ou seja, a opção "Permitir dispositivos desconhecidos" está habilitada), o endpoint /api/executeScript fica exposto sem controle de acesso. Isso permite que atacantes remotos não autenticados injetem payloads de AppleScript arbitrários por meio do cabeçalho HTTP X-Script, resultando na execução de código usando do shell script. A exploração bem-sucedida concede aos atacantes a capacidade de executar comandos arbitrários no host macOS com os privilégios do processo em segundo plano do Remote for Mac.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.