ToDesktop antes 2024 - 10 - 03, como usado pelo Cursor antes 2024 - 10 - 03 e outros aplicativos, permite que os atacantes remotos executem comandos arbitrários no servidor de compilação (por exemplo, ler segredos do arquivo config. prod.json desktopify), e, consequentemente, implementar atualizações para qualquer aplicativo, através de um script de pós- instalação no pacote.json. Não ocorreu nenhuma exploração. O registro de base de dados de vulnerabilidade nacional CVE- 2025 - 27554 foi publicado em 2025 - 03 - 01 T 06: 15: 34.693 Z e última modificação em 2026 - 06 - 17 T 09: 03: 47.620 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 9.9, gravidade CRÍTICA, vetor CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, pontuação de exploração 3.1, pontuação de impacto 6; CVSS. Classificações de fraqueza associadas: CWE- 94.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.