CVE-2025-54068

Vulnérabilité Critique dans Livewire : Exécution de Code à Distance

Une faille de sécurité majeure, identifiée sous la référence CVE-2025-54068, a été découverte dans le framework Livewire, spécifiquement pour les versions 3.x jusqu’à la version 3.6.3.

Points Clés :

• La vulnérabilité permet une exécution de code à distance (RCE).
• Elle concerne la manière dont certaines mises à jour de propriétés de composants sont traitées lors de la phase d’hydratation.
• Des attaquants non authentifiés peuvent potentiellement exécuter du code arbitraire.
• L’exploitation ne nécessite ni authentification ni interaction utilisateur, mais suppose qu’un composant est monté et configuré de manière spécifique.

Vulnérabilité :

• CVE : CVE-2025-54068
• Cause : Un défaut dans la méthode hydrateForUpdate de la classe Livewire\Mechanisms\HandleComponents\HandleComponents. Une charge utile de mise à jour malveillante peut contourner les contrôles de validation et de nettoyage, amenant le framework à interpréter des entrées non fiables comme du code exécutable.

Recommandations :

• Mise à niveau immédiate : Il est impératif de passer à la version 3.6.4 de Livewire ou à une version ultérieure. Aucune solution de contournement connue n’existe.

Source