CVE-2026-11470

ŚrednieCVSS 6.3

Opublikowano: 08/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

hsweb-framework do wersji 5.0.1 zawiera podatność na path traversal w funkcji denied w pliku FileUploadProperties.java. Atakujący może zdalnie manipulować argumentem filename, aby uzyskać dostęp do plików poza zamierzonym katalogiem.

Ocena ryzyka

Atakujący może odczytać lub nadpisać wrażliwe pliki na serwerze, co prowadzi do wycieku danych lub naruszenia integralności systemu.

Rekomendacja

Zaleca się zastosowanie łatki identyfikowanej jako 8009845b577d8a2c4bbf4fdd8e8913799a714be6 lub aktualizację do nowszej wersji.

Inne podatności w hsweb-framework

CVE-2026-11477Średnie
hsweb-framework do wersji 5.0.1 zawiera podatność na otwarte przekierowanie w funkcji OAuth2Client w pliku OAuth2Client.java. Atakujący może zdalnie wykorzystać tę podatność do przekierowania użytkownika na zewnętrzną, złośliwą stronę.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in hs-web hsweb-framework up to 5.0.1. The affected element is the function denied of the file hsweb-system/hsweb-system-file/src/main/java/org/hswebframework/web/file/FileUploadProperties.java of the component File Upload. The manipulation of the argument filename leads to path traversal. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The identifier of the patch is 8009845b577d8a2c4bbf4fdd8e8913799a714be6. It is suggested to install a patch to address this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS