Anmelden
Deutsch English Español Polski
Mittel

Arbitrary system path lookup in h20

  • Veröffentlicht: 06.06.2024
  • Aktualisiert: 11.10.2026 13:18

In h2oai/h2o-3 version 3.40.0.4, an exposure of sensitive information vulnerability exists due to an arbitrary system path lookup feature. This vulnerability allows any remote user to view full paths in the entire file system where h2o-3 is hosted. Specifically, the issue resides in the Typeahead API call, which when requested with a typeahead lookup of '/', exposes the root filesystem including directories such as /home, /usr, /bin, among others. This vulnerability could allow attackers to explore the entire filesystem, and when combined with a Local File Inclusion (LFI) vulnerability, could make exploitation of the server trivial.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) h2o <= 3.40.0.4 keine Korrektur

Verweise

CVSS-Wert 5.3/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE)
CWE-200, CWE-22
Plattform
Python (PyPI)
Paket
h2o
Veröffentlicht
06.06.2024
Aktualisiert
11.10.2026 13:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-1446 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-x234-r5fg-x52m - CC BY 4.0

Schwachstellenhistorie: h2o

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (17) im Archiv
Einträge insgesamt
17
Erste → letzte
12.2023 04.2026
Ohne Fix
14
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 9
  • Mittel 2

Veröffentlichungen pro Jahr

Schweregrad:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Kritisch · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability
    Kritisch · 9.1 CVE-2024-5986 <= 3.46.0.1 keine Korrektur
  3. H2O affected by a deserialization vulnerability
    Kritisch · 9.8 CVE-2025-6544 <= 3.46.0.7 keine Korrektur
  4. H2O Vulnerable to Arbitrary File Overwrite
    Hoch · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 keine Korrektur
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Hoch · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 keine Korrektur
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint
    Hoch · 7.5 CVE-2024-7768 <= 3.46.1 keine Korrektur
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Hoch · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 keine Korrektur
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Hoch · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 keine Korrektur
  9. H2O Vulnerable to Denial of Service (DoS) and File Write
    Hoch · 7.5 CVE-2024-10572 >= 3.34.0.1, <= 3.46.0.1 keine Korrektur
  10. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Hoch · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 keine Korrektur
  11. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Hoch · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 keine Korrektur
  12. H2O Deserialization of Untrusted Data Vulnerability
    Kritisch · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  13. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL
    Kritisch · 9.1 CVE-2024-45758 <= 3.46.0.7 keine Korrektur
  14. h2o vulnerable to unexpected POST request shutting down server
    Hoch · 7.5 CVE-2024-5979 <= 3.46.0 keine Korrektur
  15. Arbitrary system path lookup in h20 dieser Eintrag
    Mittel · 5.3 CVE-2024-5550 <= 3.40.0.4 keine Korrektur
  16. External Control of File Name or Path in h2oai/h2o-3
    Kritisch · 9.3 CVE-2023-6569 < 3.46.0.1 3.46.0.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.