Zaloguj się
Deutsch English Español Polski
Krytyczna

External Control of File Name or Path in h2oai/h2o-3

  • Ujawniono: 14.12.2023
  • Aktualizacja: 11.10.2026 12:20

Remote unauthenticated attackers can overwrite arbitrary server files with attacker-controllable data. The data that the attacker can control is not entirely arbitrary. h2o writes a CSV/XLS/etc file to disk, so the attacker data is wrapped in quotations and starts with "C1", if they're exporting as CSV.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) h2o < 3.46.0.1 3.46.0.1

Odnośniki

Ocena CVSS 9.3/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:H
Słabość (CWE)
CWE-610, CWE-73
Platforma
Python (PyPI)
Paczka
h2o
Ujawniono
14.12.2023
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-gqrq-j6pm-98c2 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-350 - PyPA Advisory Database; CC BY 4.0

Historia podatności: h2o

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
12.2023 04.2026
Bez poprawki
14
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 9
  • Średnia 2

Ujawnienia w latach

Istotność:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Krytyczna · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability
    Krytyczna · 9.1 CVE-2024-5986 <= 3.46.0.1 brak poprawki
  3. H2O affected by a deserialization vulnerability
    Krytyczna · 9.8 CVE-2025-6544 <= 3.46.0.7 brak poprawki
  4. H2O Vulnerable to Arbitrary File Overwrite
    Wysoka · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 brak poprawki
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Wysoka · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 brak poprawki
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint
    Wysoka · 7.5 CVE-2024-7768 <= 3.46.1 brak poprawki
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Wysoka · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 brak poprawki
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Wysoka · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 brak poprawki
  9. H2O Vulnerable to Denial of Service (DoS) and File Write
    Wysoka · 7.5 CVE-2024-10572 >= 3.34.0.1, <= 3.46.0.1 brak poprawki
  10. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Wysoka · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  11. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Wysoka · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  12. H2O Deserialization of Untrusted Data Vulnerability
    Krytyczna · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  13. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL
    Krytyczna · 9.1 CVE-2024-45758 <= 3.46.0.7 brak poprawki
  14. h2o vulnerable to unexpected POST request shutting down server
    Wysoka · 7.5 CVE-2024-5979 <= 3.46.0 brak poprawki
  15. External Control of File Name or Path in h2oai/h2o-3 ten wpis
    Krytyczna · 9.3 CVE-2023-6569 < 3.46.0.1 3.46.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.