CVE-2026-8752

ŚrednieCVSS 5.3

Opublikowano: 17/05/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

W h2oai h2o-3 do wersji 7402 wykryto słabość w funkcji exec pliku AstSetProperty.java w komponencie Rapids setproperty Primitive Handler. Manipulacja może prowadzić do niewłaściwej kontroli dostępu, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach; producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Zdalny atakujący może wykorzystać publicznie znany exploit do obejścia kontroli dostępu i uzyskania nieuprawnionego dostępu do systemu.

Rekomendacja

Ogranicz dostęp sieciowy do instancji h2o-3, monitoruj próby wykorzystania luki i rozważ wdrożenie środków kompensacyjnych do czasu udostępnienia poprawki przez producenta.

Inne podatności w h2oai h2o-3

CVE-2025-6544Krytyczne
W bibliotece h2oai/h2o-3 w wersjach <= 3.46.0.8 występuje podatność deserializacji wynikająca z nieprawidłowej obsługi parametrów połączenia JDBC. Atakujący może obejść kontrole wyrażeń regularnych przy użyciu podwójnego kodowania URL, co pozwala na odczyt dowolnych plików systemowych i wykonanie dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in h2oai h2o-3 up to 7402. This vulnerability affects the function exec of the file h2o-core/src/main/java/water/rapids/ast/prims/misc/AstSetProperty.java of the component Rapids setproperty Primitive Handler. Executing a manipulation can lead to improper access controls. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS