CVE-2025-3579 in AiDex

摘要

由 VulDB • 2026-05-09

在 Aidex 1.7 之前的版本中，经过身份验证的恶意用户利用开放的注册表，可以在系统内执行未授权的命令。这包括执行操作系统（Unix）命令、与内部服务（如 PHP 或 MySQL）进行交互，甚至调用所用框架（如 Laravel 或 Symfony）的原生函数。这种执行是通过针对 /api//message 端点的 Prompt Injection 攻击，操纵 ‘content’ 参数的内容来实现的。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: INCIBE
• 预定: 2025-04-14
• 披露: 2025-04-15
• 管理: 已接受
• 条目: VDB-304680
• CPE: 准备好
• CWE: CWE-94 (已确认)
• CVSS: 8.8 (VulDB)
• EPSS: 0.00609
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-3579
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-3579
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-3579/