PT-2026-47202 · Unknown · Hsweb-Framework

0Xrry · Publicado 2026-06-08 · Atualizado 2026-06-08 · CVE-2026-11470

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas hs-web hsweb-framework versões anteriores a 5.0.2

Description Um problema de path traversal existe no componente de Upload de Arquivos. A função denied() no arquivo FileUploadProperties.java pode ser manipulada através do argumento filename, permitindo que um invasor remoto acesse ou percorra diretórios fora da pasta pretendida.

Recommendations Instale a correção com o identificador 8009845b577d8a2c4bbf4fdd8e8913799a714be6. Como mitigação temporária, restrinja o uso do argumento filename no componente de Upload de Arquivos.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-11470

Produtos afetados

Hsweb-Framework

Referências · 12

• 🔥 https://github.com/hs-web/hsweb-framework/issues/344 · Exploit
• https://github.com/hs-web/hsweb-framework/issues/344#issuecomment-3798035002 · Nota
• https://github.com/hs-web/hsweb-framework/commit/8009845b577d8a2c4bbf4fdd8e8913799a714be6 · Correção
• https://twitter.com/VulmonFeeds/status/2063800954625880298 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-11470 · Nota de Segurança
• https://vuldb.com/submit/833856 · Nota
• https://vuldb.com/vuln/369090/cti · Nota
• https://vuldb.com/vuln/369090 · Nota
• https://vuldb.com/cve/CVE-2026-11470 · Nota
• https://github.com/hs-web/hsweb-framework · Nota
• https://t.me/CVEtracker/56105 · Publicação no Telegram
• https://t.me/cveNotify/166428 · Publicação no Telegram