CVE-2025-6544

KrytyczneCVSS 9.8

Opublikowano: 21/09/2025(UTC)Zaktualizowano: 05/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.92%

Percentyl 59 - wyżej niż 59% wszystkich znanych CVE

Streszczenie

W bibliotece h2oai/h2o-3 w wersjach <= 3.46.0.8 występuje podatność deserializacji wynikająca z nieprawidłowej obsługi parametrów połączenia JDBC. Atakujący może obejść kontrole wyrażeń regularnych przy użyciu podwójnego kodowania URL, co pozwala na odczyt dowolnych plików systemowych i wykonanie dowolnego kodu.

Ocena ryzyka

Podatność dotyczy wszystkich użytkowników podatnych wersji i umożliwia pełne przejęcie serwera oraz wyciek danych. Szczególnie niebezpieczna w środowiskach, gdzie h2o-3 jest wystawione na dostęp użytkowników lub integruje się z zewnętrznymi źródłami danych.

Rekomendacja

Należy zaktualizować h2o-3 do wersji nowszej niż 3.46.0.8. Dodatkowo zaleca się ograniczenie możliwości podawania parametrów połączenia JDBC przez użytkowników oraz walidację danych wejściowych po stronie serwera.

Inne podatności w h2oai/h2o-3

CVE-2026-8752Średnie
W h2oai h2o-3 do wersji 7402 wykryto słabość w funkcji exec pliku AstSetProperty.java w komponencie Rapids setproperty Primitive Handler. Manipulacja może prowadzić do niewłaściwej kontroli dostępu, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach; producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A deserialization vulnerability exists in h2oai/h2o-3 versions <= 3.46.0.8, allowing attackers to read arbitrary system files and execute arbitrary code. The vulnerability arises from improper handling of JDBC connection parameters, which can be exploited by bypassing regular expression checks and using double URL encoding. This issue impacts all users of the affected versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS