CVE-2025-54068

Exécution de code à distance dans Livewire v3

Une faille critique de sécurité a été découverte dans le framework Livewire pour Laravel, affectant les versions 3.x jusqu’à la 3.6.3. Cette vulnérabilité, désignée CVE-2025-54068, permet à des attaquants non authentifiés d’exécuter du code arbitraire à distance. Le problème provient de la manière dont les mises à jour de certaines propriétés de composants sont traitées lors du processus d’hydratation. Une charge utile spécialement conçue peut contourner les mécanismes de validation et de nettoyage, conduisant à l’exécution de code non fiable. L’exploitation ne nécessite ni authentification ni interaction utilisateur, mais suppose qu’un composant soit monté et configuré d’une manière spécifique.

Points clés :

• Nature de la vulnérabilité : Exécution de code à distance (RCE).
• Composant affecté : Livewire framework pour Laravel.
• Versions affectées : v3.x jusqu’à v3.6.3 inclus.
• CVE : CVE-2025-54068.

Vulnérabilités :

• CVE-2025-54068 : Exécution de code à distance due à une mauvaise gestion des mises à jour de propriétés de composants lors de l’hydratation.

Recommandations :

• Mise à jour immédiate : Appliquer la version 3.6.4 de Livewire ou une version ultérieure est fortement recommandé.
• Absence de contournement : Il n’existe actuellement aucun moyen de contourner cette vulnérabilité sans mettre à jour le framework.

Source