Iniciar sesión
Deutsch English Español Polski
Crítica

H2O has an External Control of File Name or Path vulnerability

  • Publicada: 02.02.2026
  • Actualizado: 11.10.2026 12:20

A vulnerability in h2oai/h2o-3 version 3.46.0.1 allows remote attackers to write arbitrary data to any file on the server. This is achieved by exploiting the /3/Parse endpoint to inject attacker-controlled data as the header of an empty file, which is then exported using the /3/Frames/framename/export endpoint. The impact of this vulnerability includes the potential for remote code execution and complete access to the system running h2o-3, as attackers can overwrite critical files such as private SSH keys or script files.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) ai.h2o:h2o-core <= 3.46.0.1 sin corrección
Python (PyPI) h2o <= 3.46.0.1 sin corrección

Referencias

Puntuación CVSS 9.1/10
Vector CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Debilidad (CWE)
CWE-73
Plataforma
Java / Kotlin (Maven), Python (PyPI)
Paquete
ai.h2o:h2o-core, h2o
Publicada
02.02.2026
Actualizado
11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-wj3h-wx8g-x699 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-353 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: ai.h2o:h2o-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (15) en el archivo
Entradas en total
15
Primera → última
11.2023 04.2026
Sin corrección
13
Explotada en ataques
0

Distribución por gravedad

  • Crítica 6
  • Alta 8
  • Media 1

Divulgaciones por año

Gravedad:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Crítica · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability esta entrada
    Crítica · 9.1 CVE-2024-5986 <= 3.46.0.1 sin corrección
  3. H2O affected by a deserialization vulnerability
    Crítica · 9.8 CVE-2025-6544 <= 3.46.0.7 sin corrección
  4. H2O Vulnerable to Arbitrary File Overwrite
    Alta · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 sin corrección
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Alta · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 sin corrección
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint
    Alta · 7.5 CVE-2024-7768 <= 3.46.1 sin corrección
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Alta · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 sin corrección
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Alta · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 sin corrección
  9. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Alta · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 sin corrección
  10. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Alta · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 sin corrección
  11. H2O Deserialization of Untrusted Data Vulnerability
    Crítica · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  12. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL
    Crítica · 9.1 CVE-2024-45758 <= 3.46.0.7 sin corrección
  13. H2O vulnerable to Deserialization of Untrusted Data
    Alta · 7.5 CVE-2024-6960 <= 3.46.0.4 sin corrección
  14. H2O local file inclusion vulnerability
    Crítica · 9.3 CVE-2023-6038 <= 3.40.0.4 sin corrección

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.