« Volver al listado

CVE-2025-57754

Estado: AplazadaCrítica (9.8)—

eslint-ban-moment is an Eslint plugin for final assignment in VIHU. In 3.0.0 and earlier, a sensitive Supabase URI is exposed in .env. A valid Supabase URI with embedded username and password will allow an attacker complete unauthorized access and control over database and user data. This could lead to data exfiltration, modification or deletion.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Exposición de credenciales Supabase en .env accesible remotamente (AV:N, PR:N). Atacante accede a BD, exfiltra datos (T1552.001), modifica o elimina (T1565.001), alterando integridad del servicio.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Restrict File and Directory PermissionsVulnerability ScanningUser TrainingPrivileged Account ManagementPassword PoliciesRemote Data Storage

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Eslint-ban-moment — Eslint-ban-momentAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-57754",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2025-57754",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2025-08-21T17:23:51.959161Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "kristoferfannar",
          "product": "eslint-ban-moment",
          "versions": [
            {
              "status": "affected",
              "version": "<= 3.0.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2025-08-21T17:15:31.420",
  "references": [
    {
      "url": "https://github.com/kristoferfannar/eslint-ban-moment/commit/bc2d2f9d23e6ae961a23e0d769e0722870b11108",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/kristoferfannar/eslint-ban-moment/security/advisories/GHSA-2486-4cjg-pw98",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-260"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "eslint-ban-moment is an Eslint plugin for final assignment in VIHU. In 3.0.0 and earlier, a sensitive Supabase URI is exposed in .env. A valid Supabase URI with embedded username and password will allow an attacker complete unauthorized access and control over database and user data. This could lead to data exfiltration, modification or deletion."
    },
    {
      "lang": "es",
      "value": "eslint-ban-moment es un complemento de Eslint para la asignación final en VIHU. En la versión 3.0.0 y anteriores, una URI de Supabase sensible está expuesta en .env. Una URI de Supabase válida con nombre de usuario y contraseña integrados permitirá a un atacante obtener acceso y control total no autorizados sobre la base de datos y los datos de los usuarios. Esto podría provocar la exfiltración, modificación o eliminación de datos."
    }
  ],
  "lastModified": "2026-06-17T09:43:22.310",
  "sourceIdentifier": "security-advisories@github.com"
}