CVE-2025-67750
CVE-2025-67750 · Lightning Flow Scanner is Vulnerable to Code Injection via Unsafe Use of new Function() in APIVersion Rule
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Lightning Flow Scanner provides a A CLI plugin, VS Code Extension and GitHub Action for analysis and optimization of Salesforce Flows. Versions 6.10.5 and below allow a maliciously crafted flow metadata file to cause arbitrary JavaScript execution during scanning. The APIVersion rule uses new Function() to evaluate expression strings, enabling an attacker to supply a malicious expression within rule configuration or crafted flow metadata. This could compromise developer machines, CI runners, or editor environments. This issue is fixed in version 6.10.6.
CVSS 8.4 · Hoch · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
lightning-flow-scanner
- Softwareversionen
- < 6.10.6: Betroffen
Keine Korrektur veröffentlicht
lightning-flow-scanner npm
- Betroffene Versionsbereiche
- SEMVER: < 6.10.6
Auf 6.10.6 aktualisieren
Originalquellen
- https://github.com/Flow-Scanner/lightning-flow-scanner/security/advisories/GHSA-55jh-84jv-8mx8
- https://github.com/Flow-Scanner/lightning-flow-scanner/commit/10f64a5eb193d8a777e453b25e910144e4540795
- https://github.com/Flow-Scanner/lightning-flow-scanner/releases/tag/core-v6.10.6
- https://nvd.nist.gov/vuln/detail/CVE-2025-67750