CVE-2026-29963
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
HSC MailInspector w wersji 5.3.3-7 posiada podatność typu Path Traversal z powodu niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika w punkcie końcowym /tap/dw.php. Parametr tekstowy jest używany do konstruowania ścieżek plików bez odpowiedniej normalizacji lub ograniczenia do bezpiecznego katalogu bazowego.
Ocena ryzyka
Zdalny atakujący może wykorzystać tę lukę, aby uzyskać dostęp do dowolnych plików w systemie operacyjnym, co prowadzi do nieautoryzowanego ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się wprowadzenie odpowiedniej walidacji i normalizacji danych wejściowych w punkcie końcowym /tap/dw.php oraz ograniczenie dostępu do bezpiecznego katalogu bazowego.
Inne podatności w HSC MailInspector 5.3.3-7
Zobacz wszystkie- CVE-2026-29965Średnie
HSC MailInspector 5.3.3-7 jest podatny na Cross Site Scripting (XSS) w endpoincie /police/WarningUrlPage.php z powodu niewłaściwej neutralizacji danych wejściowych użytkownika wykorzystujących alternatywną lub zaciemnioną składnię JavaScript.
- CVE-2026-29964Średnie
HSC MailInspector v5.3.3-7 zawiera podatność Cross-Site Scripting (XSS) w endpoincie /tap/tap.php z powodu niewłaściwej neutralizacji danych wejściowych kontrolowanych przez użytkownika przy użyciu alternatywnej lub zaciemnionej składni JavaScript. Endpoint odzwierciedla nieoczyszczone dane wejściowe w odpowiedziach HTTP bez odpowiedniego kodowania wyjściowego.
- CVE-2026-29962Wysokie
HSC MailInspector w wersji 5.3.3-7 zawiera podatność typu Local File Inclusion (LFI) spowodowaną niewłaściwą kontrolą ścieżek plików dostarczanych przez użytkownika. Punkt końcowy /vendor/phpunit/phpunit.php przetwarza parametry kontrolowane przez użytkownika, co pozwala na nieautoryzowany dostęp do plików systemowych.
Oryginalny opis (angielski, źródło NVD)
HSC MailInspector 5.3.3-7 has a Path Traversal vulnerability due to improper validation of user-supplied input in the /tap/dw.php endpoint. The text parameter is used to construct file paths without adequate normalization or restriction to a safe base directory. A remote attacker can exploit this flaw to access arbitrary files on the underlying operating system, resulting in unauthorized disclosure of sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS