CVE-2025-15413wasm3是一个高性能的WebAssembly解释器，广泛应用于嵌入式系统和物联网设备中。CVE-2025-15413漏洞存在于wasm3 0.5.0及之前版本的m3_exec.h文件中的op_SetSlot_i32和op_CallIndirect函数中。该漏洞属于内存损坏类安全缺陷，攻击者可以通过精心构造的WebAssembly模块触发内存越界访问、堆栈溢出或其他内存破坏问题。由于wasm3常被用于资源受限的嵌入式环境，且项目目前缺乏活跃维护者，此漏洞可能长期存在且难以获得官方修复。攻击需要本地访问权限，但成功利用可导致敏感数据泄露、系统完整性破坏或应用程序崩溃。该漏洞已被公开披露，意味着攻击代码可能已在野外出现，使用wasm3的项目需立即采取防护措施。
该漏洞位于wasm3解释器的核心执行引擎中，具体涉及m3_exec.h文件中的op_SetSlot_i32和op_CallIndirect两个函数。op_SetSlot_i32函数负责处理WebAssembly中的局部变量设置操作，而op_CallIndirect函数则处理间接函数调用。这两个函数在处理WebAssembly字节码时缺乏充分的边界检查和内存验证。攻击者可以通过构造恶意WebAssembly模块，在模块中嵌入特殊的操作序列来触发这些函数的内存越界访问。当解释器执行到这些精心构造的操作时，会导致堆内存或栈内存的破坏，可能引发以下后果：1) 堆缓冲区溢出，可能导致任意代码执行；2) 释放后使用（UAF）漏洞；3) 栈缓冲区溢出，可能覆盖返回地址；4) 类型混淆错误。由于wasm3采用手写的解释器核心代码，且使用手动内存管理，增加了内存损坏类漏洞出现的风险。漏洞利用需要攻击者能够向目标系统提供恶意WebAssembly模块，通常通过网页、应用程序或固件更新的方式。