FICHE CVE

CVE-2025-30354

Publiée le 2025-04-01 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs du client API Bruno sont concernés s'ils importent et exécutent des collections provenant de sources non fiables. Un attaquant peut exécuter du code arbitraire sur votre machine en contournant les restrictions du « Mode Sécurisé » via une assertion spécialement conçue dans une collection malveillante. Cela nécessite que vous téléchargiez et ouvriez manuellement un fichier fourni par un tiers ; l'attaque ne peut pas être déclenchée à distance via un réseau.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-942

Publiée2025-04-01

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurActive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Bruno is an open source IDE for exploring and testing APIs. A bug in the assertion runtime caused assert expressions to run in Developer Mode, even if Safe Mode was selected. The bug resulted in the sandbox settings to be ignored for the particular case where a single request is run/sent. This vulnerability's attack surface is limited strictly to scenarios where users import collections from untrusted or malicious sources. The exploit requires deliberate action from the user—specifically, downloading and opening an externally provided malicious Bruno collection. The vulnerability is fixed in 1.39.1.