CVE-2025-35028
Vulnérabilité critique dans HexStrike AI (0x4m4)
CVSS 9.1 · Critique
EPSS 5.3%
0x4m4•HexStrike AI•Versions : 33267047667b9accfbf0fdac1c1c7ff12f3a5512
Description
By providing a command-line argument starting with a semi-colon ; to an API endpoint created by the EnhancedCommandExecutor class of the HexStrike AI MCP server, the resultant composed command is executed directly in the context of the MCP server’s normal privilege; typically, this is root. There is no attempt to sanitize these arguments in the default configuration of this MCP server at the affected version (as of commit 2f3a5512 in September of 2025).
Gravité et risque d'exploitation
CVE-2025-35028 obtient un score CVSS de 9.1/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 5.29 %, ce qui la place devant 92.5 % des CVE référencées.
Que faire ?
- Vérifiez si HexStrike AI (versions 33267047667b9accfbf0fdac1c1c7ff12f3a5512) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.