一、 漏洞 CVE-2025-56803 基础信息
漏洞信息
                                        # N/A

## 概述

Figma Desktop for Windows 存在一个命令注入漏洞，位于本地插件加载器中。

## 影响版本

Figma Desktop for Windows 版本 125.6.5

## 细节

漏洞源于插件的 `manifest.json` 文件中的 `build` 字段未经过滤或验证，该字段被直接传递给 `child_process.exec` 执行。攻击者可构造恶意的 `build` 字段内容，从而在目标系统上执行任意操作系统命令。

## 影响

该漏洞可能导致远程代码执行（RCE），攻击者通过加载恶意插件对目标系统进行任意命令操作，具有较高安全风险。
神龙判断

是否为 Web 类漏洞： 未知

判断理由：

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Figma Desktop for Windows version 125.6.5 contains a command injection vulnerability in the local plugin loader. An attacker can execute arbitrary OS commands by setting a crafted build field in the plugin's manifest.json. This field is passed to child_process.exec without validation, leading to possible RCE. NOTE: this is disputed by the Supplier because the behavior only allows a local user to attack himself via a local plugin. The local build procedure, which is essential to the attack, is not executed for plugins shared to the Figma Community.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Figma Desktop 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Figma Desktop是Figma公司的一个矢量图形编辑器和原型设计工具。 Figma Desktop for Windows 125.6.5版本存在安全漏洞，该漏洞源于本地插件加载器存在命令注入漏洞，可能导致远程代码执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-56803 的公开POC
# POC 描述 源链接 神龙链接
1 Command Injection Vulnerability via Plugin Execution in Figma Desktop Application https://github.com/shinyColumn/CVE-2025-56803 POC详情
三、漏洞 CVE-2025-56803 的情报信息
四、漏洞 CVE-2025-56803 的评论

暂无评论

发表评论