PT-2026-4839 · Linux+3 · Linux+3

Ling101W · Publicado 2026-01-27 · Atualizado 2026-05-22 · CVE-2026-24479

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do HUSTOF anteriores a 26.01.24

Descrição O HUSTOF é um sistema de online judge baseado em PHP, C++, MySQL e Linux. Existe uma falha de path traversal nos módulos problem import qduoj.php e problem import hoj.php ao manipular a extração de arquivos ZIP. Isso permite que atacantes gravem arquivos em locais arbitrários dentro da raiz web criando arquivos ZIP maliciosos contendo sequências de path traversal, como ../../shell.php. A exploração bem-sucedida resulta em Execução Remota de Código (RCE).

Recomendações Versões anteriores a 26.01.24 devem ser atualizadas para a versão 26.01.24 ou superior.

Exploit

Correção

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-24479

GHSA-XMGG-2RW4-7FXJ

Produtos afetados

Hustof

Linux

Mysql Server

Php

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/24xxx/CVE-2026-24479.json · Exploit
• 🔥 https://exploit-db.com/exploits/52539 · Exploit
• https://github.com/zhblue/hustoj/security/advisories/GHSA-xmgg-2rw4-7fxj · Aviso do Fabricante
• https://github.com/zhblue/hustoj/commit/902bd09e6d0011fe89cd84d4236899314b33101f · Correção
• https://t.me/cveNotify/149942 · Publicação no Telegram
• https://twitter.com/0dayPublishing/status/2015951972113711357 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-24479 · Aviso do Fabricante
• https://reddit.com/r/SecOpsDaily/comments/1tkubur/metasploit_wrap_up_05222026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-24479 · Nota de Segurança
• https://t.me/cveNotify/153841 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2015988784878219371 · Publicação no Twitter
• https://t.me/CVEtracker/43032 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2016000247273517271 · Publicação no Twitter