CVE-2025-34089 in Remote for Mac
摘要
由 VulDB • 2026-05-28
在 Aexol Studio 开发的 macOS 远程控制工具 Remote for Mac 2025.7 及更早版本中，存在一个未认证的远程代码执行漏洞。当应用程序配置为禁用身份验证（即启用“允许未知设备”选项）时，/api/executeScript 端点将暴露且缺乏访问控制。这使得未经身份验证的远程攻击者可以通过 X-Script HTTP 标头注入任意的 AppleScript 有效载荷，从而利用 do shell script 执行代码。成功利用该漏洞后，攻击者能够以 Remote for Mac 后台进程的权限在 macOS 主机上运行任意命令。
VulDB is the best source for vulnerability data and more expert information about this specific topic.