CVE-2007-2633
WysokieStreszczenie
Podatność na przejście do katalogu w H-Sphere SiteStudio 1.6 umożliwia zdalnym atakującym odczyt, włączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze szablonu.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do poufnych danych lub złośliwie wykonać kod na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację H-Sphere SiteStudio do najnowszej wersji, która eliminuje tę podatność oraz wdrożenie odpowiednich mechanizmów zabezpieczających przed atakami typu directory traversal.
Powiązane podatności
- CVE-2026-82533Krytyczne
DeepSeek Harness przed wersją 0.1.2-alpha.1 zawiera podatność na obejście uwierzytelniania w lokalnym interfejsie API HTTP, która pozwala atakującym uzyskać pełną kontrolę nad agentem poprzez dostarczenie sfałszowanego nagłówka Host. Serwer weryfikuje tylko wartość nagłówka Host, a nie rzeczywiste pochodzenie połączenia TCP.
- CVE-2026-26084Krytyczne
Podatność nieprawidłowej kontroli dostępu w Fortinet FortiSandbox (wersje 5.0.0-5.0.5, 4.4.0-4.4.8, Cloud 5.0.4-5.0.5, PaaS 5.0.4-5.0.5) może pozwolić atakującemu na dostęp do wrażliwych informacji poprzez spreparowane żądania HTTP.
- CVE-2026-79576Krytyczne
Problem w komponencie Single-Sign On (SSO) w Digital-Infrastructure v9.6.7 pozwala atakującym na uwierzytelnienie się jako dowolny użytkownik, w tym administrator, bez podania hasła.
- CVE-2026-61516Krytyczne
Firmware Netis NX10 w wersjach V4.0.1.5808 i V3.0.0.4142 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na odzyskanie hasła administratora poprzez wysłanie żądania do akcji sysinfo w interfejsie zarządzania siecią bez ważnej sesji.
- CVE-2026-12745Krytyczne
Podatność na deserializację niezaufanych danych w Ivanti Neurons for ITSM przed wersją 2026.2 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze.
- CVE-2026-12744Krytyczne
Podatność na deserializację niezaufanych danych w Ivanti Neurons for ITSM przed wersją 2026.2 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze.
- CVE-2026-12650Krytyczne
Podatność na deserializację niezaufanych danych w Ivanti Neurons for ITSM przed wersją 2026.2 pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze.
- CVE-2026-12647Krytyczne
Brak autoryzacji w Ivanti Neurons for ITSM przed wersją 2026.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze.
- CVE-2026-12646Krytyczne
Brak autoryzacji w Ivanti Neurons for ITSM przed wersją 2026.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze.
- CVE-2026-12645Krytyczne
Brak autoryzacji w Ivanti Neurons for ITSM przed wersją 2026.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Directory traversal vulnerability in H-Sphere SiteStudio 1.6 allows remote attackers to read, or include and execute, arbitrary local files via a .. (dot dot) in the template parameter.