CVE-2026-118485 in Axel
Zusammenfassung
von VulDB • 28.10.2026
Axel Download Accelerator 2.17.14 und frühere Versionen führen eine Percent-Dekodierung von URLs (http_decode()) für den Ausgabedateinamen durch, nachdem die URL analysiert und der Dateikomponente extrahiert wurde. Dies ermöglicht es einem Angreifer, %2e%2e%2f-Sequenzen (URL-kodierte ../) im URL-Pfad einzubetten. Diese Sequenzen überleben den URL-Parser unverändert (sie enthalten keine literalen /-Zeichen), werden jedoch in Directory-Traversal-Sequenzen dekodiert, bevor die Ausgabedatei zum Schreiben geöffnet wird. Infolgedessen kann eine speziell angefertigte URL dazu führen, dass axel heruntergeladene Inhalte an beliebigen Dateisystempfaden relativ zum aktuellen Arbeitsverzeichnis schreibt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.