Livewire is vulnerable to remote command execution during component property update hydration
CISA potwierdza wykorzystanie tej podatności w rzeczywistych atakach. Priorytetowo sprawdź, czy dotyczy Twojej aplikacji. CISA KEV · CC0 1.0
Impact
In Livewire v3 (≤ 3.6.3), a vulnerability allows unauthenticated attackers to achieve remote command execution in specific scenarios. The issue stems from how certain component property updates are hydrated. This vulnerability is unique to Livewire v3 and does not affect prior major versions. Exploitation requires a component to be mounted and configured in a particular way, but does not require authentication or user interaction.
Patches
This issue has been patched in Livewire v3.6.4. All users are strongly encouraged to upgrade to this version or later as soon as possible.
Workarounds
There is no known workaround at this time. Users are strongly advised to upgrade to a patched version immediately.
Resources
No public references available at this time to avoid exposure. Details will be published after a responsible disclosure window.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | livewire/livewire | >= 3.0.0-beta.1, < 3.6.4 | 3.6.4 |
Odnośniki
- https://github.com/livewire/livewire/security/advisories/GHSA-29cq-5w36-x7w3
- https://nvd.nist.gov/vuln/detail/CVE-2025-54068
- https://github.com/livewire/livewire/commit/ef04be759da41b14d2d129e670533180a44987dc
- https://github.com/livewire/livewire
- https://github.com/livewire/livewire/releases/tag/v3.6.4
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-54068
- https://www.threathunter.ai/blog/iranian-threat-actor-tools-techniques-iocs-ioas
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-94- Platforma
- Composer
- Paczka
livewire/livewire- Ujawniono
- 17.07.2025
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-29cq-5w36-x7w3 - CC BY 4.0
Historia podatności: livewire/livewire
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 5
- Pierwsza → ostatnia
- 03.2024 09.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 1
Rozkład istotności
- Krytyczna 1
- Wysoka 1
- Średnia 3
Ujawnienia w latach
- 2024: 3
- 2025: 1
- 2026: 1
-
Livewire is vulnerable to remote command execution during component property update hydration ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.