Arbitrary system path lookup in h20
In h2oai/h2o-3 version 3.40.0.4, an exposure of sensitive information vulnerability exists due to an arbitrary system path lookup feature. This vulnerability allows any remote user to view full paths in the entire file system where h2o-3 is hosted. Specifically, the issue resides in the Typeahead API call, which when requested with a typeahead lookup of '/', exposes the root filesystem including directories such as /home, /usr, /bin, among others. This vulnerability could allow attackers to explore the entire filesystem, and when combined with a Local File Inclusion (LFI) vulnerability, could make exploitation of the server trivial.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | h2o | <= 3.40.0.4 | brak poprawki |
Odnośniki
- Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N- Słabość (CWE)
CWE-200, CWE-22- Platforma
- Python (PyPI)
- Paczka
h2o- Ujawniono
- 06.06.2024
- Aktualizacja
- 11.10.2026 13:18
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-1446 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-x234-r5fg-x52m - CC BY 4.0
Historia podatności: h2o
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 17
- Pierwsza → ostatnia
- 12.2023 04.2026
- Bez poprawki
- 14
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 6
- Wysoka 9
- Średnia 2
Ujawnienia w latach
- 2023: 1
- 2024: 3
- 2025: 11
- 2026: 2
-
Arbitrary system path lookup in h20 ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.