Zaloguj się
Deutsch English Español Polski
Wysoka

H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint

  • Ujawniono: 20.03.2025
  • Aktualizacja: 11.10.2026 13:19

A vulnerability in the /3/ImportFiles endpoint of h2oai/h2o-3 version 3.46.1 allows an attacker to cause a denial of service. The endpoint takes a single GET parameter, path, which can be recursively set to reference itself. This leads the server to repeatedly call its own endpoint, eventually filling up the request queue and leaving the server unable to handle other requests.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) ai.h2o:h2o-core <= 3.46.1 brak poprawki
Python (PyPI) h2o <= 3.46.1 brak poprawki

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-400, CWE-770
Platforma
Java / Kotlin (Maven), Python (PyPI)
Paczka
ai.h2o:h2o-core, h2o
Ujawniono
20.03.2025
Aktualizacja
11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1443 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-p2vc-m5fv-9w9m - CC BY 4.0

Historia podatności: h2o

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
12.2023 04.2026
Bez poprawki
14
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 9
  • Średnia 2

Ujawnienia w latach

Istotność:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Krytyczna · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability
    Krytyczna · 9.1 CVE-2024-5986 <= 3.46.0.1 brak poprawki
  3. H2O affected by a deserialization vulnerability
    Krytyczna · 9.8 CVE-2025-6544 <= 3.46.0.7 brak poprawki
  4. H2O Vulnerable to Arbitrary File Overwrite
    Wysoka · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 brak poprawki
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Wysoka · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 brak poprawki
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint ten wpis
    Wysoka · 7.5 CVE-2024-7768 <= 3.46.1 brak poprawki
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Wysoka · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 brak poprawki
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Wysoka · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 brak poprawki
  9. H2O Vulnerable to Denial of Service (DoS) and File Write
    Wysoka · 7.5 CVE-2024-10572 >= 3.34.0.1, <= 3.46.0.1 brak poprawki
  10. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Wysoka · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  11. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Wysoka · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  12. H2O Deserialization of Untrusted Data Vulnerability
    Krytyczna · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  13. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL
    Krytyczna · 9.1 CVE-2024-45758 <= 3.46.0.7 brak poprawki
  14. h2o vulnerable to unexpected POST request shutting down server
    Wysoka · 7.5 CVE-2024-5979 <= 3.46.0 brak poprawki
  15. External Control of File Name or Path in h2oai/h2o-3
    Krytyczna · 9.3 CVE-2023-6569 < 3.46.0.1 3.46.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.