CVE-2025-63690
Publiée le 2025-11-07 · Dernière modification le 2026-06-17
Les versions 3.8.2 et antérieures de Pig-mesh sont affectées par une faille dans la fonction de gestion Quartz qui permet l'exécution de code à distance. Un attaquant disposant de privilèges administratifs de haut niveau peut exploiter cette vulnérabilité via le réseau pour exécuter des commandes système arbitraires en abusant de la réflexion Java et de l'ELProcessor de Tomcat. Aucune interaction de l'utilisateur n'est requise, bien que l'attaquant doive d'abord posséder des identifiants administratifs valides pour accéder au module de gestion du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In pig-mesh Pig versions 3.8.2 and below, when setting up scheduled tasks in the Quartz management function under the system management module, it is possible to execute any Java class with a parameterless constructor and its methods with parameter type String through reflection. At this time, the eval method in Tomcat's built-in class jakarta.el.ELProcessor can be used to execute commands, leading to a remote code execution vulnerability.