CVE-2026-29963

Wysokie

Opublikowano: 18/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

HSC MailInspector w wersji 5.3.3-7 posiada podatność typu Path Traversal z powodu niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika w punkcie końcowym /tap/dw.php. Parametr tekstowy jest używany do konstruowania ścieżek plików bez odpowiedniej normalizacji lub ograniczenia do bezpiecznego katalogu bazowego.

Ocena ryzyka

Zdalny atakujący może wykorzystać tę lukę, aby uzyskać dostęp do dowolnych plików w systemie operacyjnym, co prowadzi do nieautoryzowanego ujawnienia wrażliwych informacji.

Rekomendacja

Zaleca się wprowadzenie odpowiedniej walidacji i normalizacji danych wejściowych w punkcie końcowym /tap/dw.php oraz ograniczenie dostępu do bezpiecznego katalogu bazowego.

Inne podatności w HSC MailInspector 5.3.3-7

CVE-2026-29962Wysokie
HSC MailInspector w wersji 5.3.3-7 zawiera podatność typu Local File Inclusion (LFI) spowodowaną niewłaściwą kontrolą ścieżek plików dostarczanych przez użytkownika. Punkt końcowy /vendor/phpunit/phpunit.php przetwarza parametry kontrolowane przez użytkownika, co pozwala na nieautoryzowany dostęp do plików systemowych.

Oryginalny opis (angielski, źródło NVD)

HSC MailInspector 5.3.3-7 has a Path Traversal vulnerability due to improper validation of user-supplied input in the /tap/dw.php endpoint. The text parameter is used to construct file paths without adequate normalization or restriction to a safe base directory. A remote attacker can exploit this flaw to access arbitrary files on the underlying operating system, resulting in unauthorized disclosure of sensitive information.