CVE-2026-29962

Wysokie

Opublikowano: 18/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

HSC MailInspector w wersji 5.3.3-7 zawiera podatność typu Local File Inclusion (LFI) spowodowaną niewłaściwą kontrolą ścieżek plików dostarczanych przez użytkownika. Punkt końcowy /vendor/phpunit/phpunit.php przetwarza parametry kontrolowane przez użytkownika, co pozwala na nieautoryzowany dostęp do plików systemowych.

Ocena ryzyka

Podatność ta umożliwia zdalnemu atakującemu wykorzystanie technik Path Traversal do odczytu dowolnych plików z systemu operacyjnego i katalogów aplikacji, co prowadzi do ujawnienia wrażliwych informacji.

Rekomendacja

Zaleca się wprowadzenie odpowiednich mechanizmów walidacji i sanitizacji ścieżek plików dostarczanych przez użytkowników oraz ograniczenie dostępu do krytycznych plików systemowych.

Inne podatności w HSC MailInspector v5.3.3-7

CVE-2026-29963Wysokie
HSC MailInspector w wersji 5.3.3-7 posiada podatność typu Path Traversal z powodu niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika w punkcie końcowym /tap/dw.php. Parametr tekstowy jest używany do konstruowania ścieżek plików bez odpowiedniej normalizacji lub ograniczenia do bezpiecznego katalogu bazowego.

Oryginalny opis (angielski, źródło NVD)

HSC MailInspector v5.3.3-7 contains a Local File Inclusion (LFI) vulnerability caused by improper control of user-supplied file paths. The endpoint /vendor/phpunit/phpunit.php processes user-controlled parameters that directly affect file access operations without adequate validation, sanitization, or path restriction. This allows a remote attacker to exploit Path Traversal techniques to read arbitrary files from the underlying operating system and application directories, leading to sensitive information disclosure.