CVE-2026-8750
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W h2oai h2o-3 do wersji 7402 funkcja importFiles w pliku PersistNFS.java (komponent ImportFile API) pozwala na ujawnienie informacji. Podatność może być wykorzystana zdalnie, a publiczny exploit jest dostępny.
Ocena ryzyka
Atakujący zdalnie może uzyskać dostęp do poufnych informacji, co może prowadzić do wycieku danych. Producent nie odpowiedział na zgłoszenie, więc poprawka może nie być dostępna.
Rekomendacja
Ogranicz dostęp do API ImportFile, monitoruj nietypowe żądania i rozważ wdrożenie środków kompensacyjnych, ponieważ brak jest oficjalnej poprawki.
Inne podatności w h2o-3
Zobacz wszystkie- CVE-2026-3960Krytyczne
W H2O-3 w wersji 3.46.0.9 i wcześniejszych występuje krytyczna podatność na zdalne wykonanie kodu w nieautoryzowanym punkcie końcowym REST API /99/ImportSQLTable. Podatność wynika z niewystarczających zabezpieczeń w mechanizmie czarnej listy parametrów, co pozwala atakującym na ominięcie tych zabezpieczeń.
- CVE-2025-10768Średnie
W h2oai h2o-3 do wersji 3.46.08 wykryto podatność w nieznanej funkcji pliku /99/ImportSQLTable, związanej ze sterownikiem IBMDB2 JDBC. Manipulacja argumentem connection_url prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in h2oai h2o-3 up to 7402. Affected by this issue is the function importFiles of the file h2o-core/src/main/java/water/persist/PersistNFS.java of the component ImportFile API. Such manipulation leads to information disclosure. The attack can be executed remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS