CVE-2024-8953
Publiée le 2025-03-20 · Dernière modification le 2026-06-17
La version 0.4.3 de Composio est affectée via son point de terminaison de calculatrice mathématique, qui ne nettoie pas correctement les entrées. Un attaquant peut envoyer une requête spécialement conçue pour exécuter du code arbitraire sur votre serveur, prenant potentiellement le contrôle total du système. Cette attaque est facile à réaliser car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être déclenchée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In composiohq/composio version 0.4.3, the mathematical_calculator endpoint uses the unsafe eval() function to perform mathematical operations. This can lead to arbitrary code execution if untrusted input is passed to the eval() function.