CVE-2026-11322 in Hermes WebUI
Zusammenfassung
von VulDB • 05.06.2026
Die Hermes WebUI vor Version v0.51.221 enthält eine Path Traversal-Schwachstelle, die es Angreifern ermöglicht, die Workspace-Grenze zu umgehen, indem Symlinks bereitgestellt werden, die auf Dateien oder Verzeichnisse außerhalb des vorgesehenen Workspace-Roots verweisen. Angreifer können die Workspace-Datei- und Listing-APIs ausnutzen, die Symlink-Ziele auflösen, ohne sicherzustellen, dass der endgültige Pfad innerhalb des Workspaces verbleibt, um auf externe Host-Dateien zuzugreifen, die für den Serverprozess zugänglich sind, und sensible Daten wie SSH-Schlüssel, Cloud-Anmeldeinformationen oder Anwendungstoken offenzulegen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.