Anmelden
Deutsch English Español Polski
Kritisch

H2O has an External Control of File Name or Path vulnerability

  • Veröffentlicht: 02.02.2026
  • Aktualisiert: 11.10.2026 12:20

A vulnerability in h2oai/h2o-3 version 3.46.0.1 allows remote attackers to write arbitrary data to any file on the server. This is achieved by exploiting the /3/Parse endpoint to inject attacker-controlled data as the header of an empty file, which is then exported using the /3/Frames/framename/export endpoint. The impact of this vulnerability includes the potential for remote code execution and complete access to the system running h2o-3, as attackers can overwrite critical files such as private SSH keys or script files.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) ai.h2o:h2o-core <= 3.46.0.1 keine Korrektur
Python (PyPI) h2o <= 3.46.0.1 keine Korrektur

Verweise

CVSS-Wert 9.1/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Schwäche (CWE)
CWE-73
Plattform
Java / Kotlin (Maven), Python (PyPI)
Paket
ai.h2o:h2o-core, h2o
Veröffentlicht
02.02.2026
Aktualisiert
11.10.2026 12:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-wj3h-wx8g-x699 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-353 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: ai.h2o:h2o-core

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (15) im Archiv
Einträge insgesamt
15
Erste → letzte
11.2023 04.2026
Ohne Fix
13
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 8
  • Mittel 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Kritisch · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability dieser Eintrag
    Kritisch · 9.1 CVE-2024-5986 <= 3.46.0.1 keine Korrektur
  3. H2O affected by a deserialization vulnerability
    Kritisch · 9.8 CVE-2025-6544 <= 3.46.0.7 keine Korrektur
  4. H2O Vulnerable to Arbitrary File Overwrite
    Hoch · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 keine Korrektur
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Hoch · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 keine Korrektur
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint
    Hoch · 7.5 CVE-2024-7768 <= 3.46.1 keine Korrektur
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Hoch · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 keine Korrektur
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Hoch · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 keine Korrektur
  9. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Hoch · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 keine Korrektur
  10. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Hoch · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 keine Korrektur
  11. H2O Deserialization of Untrusted Data Vulnerability
    Kritisch · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  12. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL
    Kritisch · 9.1 CVE-2024-45758 <= 3.46.0.7 keine Korrektur
  13. H2O vulnerable to Deserialization of Untrusted Data
    Hoch · 7.5 CVE-2024-6960 <= 3.46.0.4 keine Korrektur
  14. H2O local file inclusion vulnerability
    Kritisch · 9.3 CVE-2023-6038 <= 3.40.0.4 keine Korrektur

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.