CVE-2026-29962
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 79 - wyżej niż 79% wszystkich znanych CVE
Streszczenie
HSC MailInspector w wersji 5.3.3-7 zawiera podatność typu Local File Inclusion (LFI) spowodowaną niewłaściwą kontrolą ścieżek plików dostarczanych przez użytkownika. Punkt końcowy /vendor/phpunit/phpunit.php przetwarza parametry kontrolowane przez użytkownika, co pozwala na nieautoryzowany dostęp do plików systemowych.
Ocena ryzyka
Podatność ta umożliwia zdalnemu atakującemu wykorzystanie technik Path Traversal do odczytu dowolnych plików z systemu operacyjnego i katalogów aplikacji, co prowadzi do ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się wprowadzenie odpowiednich mechanizmów walidacji i sanitizacji ścieżek plików dostarczanych przez użytkowników oraz ograniczenie dostępu do krytycznych plików systemowych.
Inne podatności w HSC MailInspector v5.3.3-7
Zobacz wszystkie- CVE-2026-29965Średnie
HSC MailInspector 5.3.3-7 jest podatny na Cross Site Scripting (XSS) w endpoincie /police/WarningUrlPage.php z powodu niewłaściwej neutralizacji danych wejściowych użytkownika wykorzystujących alternatywną lub zaciemnioną składnię JavaScript.
- CVE-2026-29964Średnie
HSC MailInspector v5.3.3-7 zawiera podatność Cross-Site Scripting (XSS) w endpoincie /tap/tap.php z powodu niewłaściwej neutralizacji danych wejściowych kontrolowanych przez użytkownika przy użyciu alternatywnej lub zaciemnionej składni JavaScript. Endpoint odzwierciedla nieoczyszczone dane wejściowe w odpowiedziach HTTP bez odpowiedniego kodowania wyjściowego.
- CVE-2026-29963Wysokie
HSC MailInspector w wersji 5.3.3-7 posiada podatność typu Path Traversal z powodu niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika w punkcie końcowym /tap/dw.php. Parametr tekstowy jest używany do konstruowania ścieżek plików bez odpowiedniej normalizacji lub ograniczenia do bezpiecznego katalogu bazowego.
Oryginalny opis (angielski, źródło NVD)
HSC MailInspector v5.3.3-7 contains a Local File Inclusion (LFI) vulnerability caused by improper control of user-supplied file paths. The endpoint /vendor/phpunit/phpunit.php processes user-controlled parameters that directly affect file access operations without adequate validation, sanitization, or path restriction. This allows a remote attacker to exploit Path Traversal techniques to read arbitrary files from the underlying operating system and application directories, leading to sensitive information disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS