PT-2026-34195 · Unknown · Hermes-Webui

Hinotoi-Agent · Publicado 2026-04-21 · Atualizado 2026-06-04 · CVE-2026-6832

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions Hermes WebUI (versões afetadas não especificadas)

Description Um problema de exclusão arbitrária de arquivos existe no endpoint '/api/session/delete'. Atacantes autenticados podem excluir arquivos fora do diretório de sessão ao fornecer um caminho absoluto ou um payload de path traversal no parâmetro session id. Isso ocorre porque identificadores de sessão não validados permitem a construção de caminhos que ignoram o limite do SESSION DIR, possibilitando a exclusão de arquivos JSON graváveis no sistema host.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-6832

Produtos afetados

Hermes-Webui

Referências · 10

• https://github.com/nesquena/hermes-webui/pull/412 · Correção
• https://github.com/nesquena/hermes-webui/pull/409 · Correção, Aviso do Fabricante
• https://github.com/nesquena/hermes-webui/commit/3cc5839bf303fa6758bfdac538507407a2929655 · Correção
• https://github.com/nesquena/hermes-webui/releases/tag/v0.50.132 · Nota
• https://github.com/nesquena/hermes-webui/releases/tag/v0.50.32 · Nota
• https://twitter.com/CVEnew/status/2048481088591339603 · Publicação no Twitter
• https://t.me/cveNotify/166006 · Publicação no Telegram
• https://twitter.com/TheRabbitPy/status/2046854041796272625 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6832 · Nota de Segurança
• https://vulncheck.com/advisories/nesquena-hermes-webui-arbitrary-file-deletion-via-unvalidated-session-id · Nota