Flowring Technology Agentflow vor 2023/03/24 File Upload uploadFile.jsp path Directory Traversal

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
9.5	$0-$5k	1.27

Zusammenfassunginfo

Eine sehr kritische Schwachstelle wurde in Flowring Technology Agentflow entdeckt. Dies betrifft einen unbekannten Teil der Datei /WebAgenda/download/uploadFile.jsp der Komponente File Upload. Die Veränderung des Parameters path resultiert in Directory Traversal. Diese Verwundbarkeit ist als CVE-2026-96440 gelistet. Der Angriff kann über das Netzwerk erfolgen. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

In Flowring Technology Agentflow wurde eine sehr kritische Schwachstelle entdeckt. Betroffen ist eine unbekannte Verarbeitung der Datei /WebAgenda/download/uploadFile.jsp der Komponente File Upload. Dank Manipulation des Arguments path mit einer unbekannten Eingabe kann eine Directory Traversal-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-22. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Improper Limitation of a Pathname to a Restricted Directory（Path Traversal） in the /WebAgenda/download/uploadFile.jsp API endpoint of Flowring Agentflow 4.0 version before 2023/03/24 allows remote authenticated users to write files to arbitrary locations outside the intended upload directory via the path parameter.

Das Advisory findet sich auf zuso.ai. Die Verwundbarkeit wird seit dem 23.09.2026 als CVE-2026-96440 geführt. Das Ausnutzen gilt als leicht. Der Angriff kann über das Netzwerk angegangen werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Die Beschaffenheit der Schwachstelle lässt vermuten, dass ein Exploit momentan zu etwa USD $0-$5k gehandelt werden wird (Preisberechnung vom 29.09.2026). Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1006 bezeichnet.

Ein Suchen von inurl:WebAgenda/download/uploadFile.jsp lässt dank Google Hacking potentiell verwundbare Systeme finden.

Ein Aktualisieren auf die Version 2023, 03 oder 24 vermag dieses Problem zu lösen.

Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Hersteller

• Flowring Technology

Name

• Agentflow

CPE 2.3info

• 🔒

CPE 2.2info

• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 9.9
VulDB Meta Temp Score: 9.5

VulDB Base Score: 9.9
VulDB Temp Score: 9.5
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Directory Traversal
CWE: CWE-22
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Google Hack: 🔒
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Agentflow 2023/03/24

Timelineinfo

23.09.2026 CVE zugewiesen
29.09.2026 +6 Tage Advisory veröffentlicht
29.09.2026 +0 Tage VulDB Eintrag erstellt
29.09.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: zuso.ai
Status: Bestätigt

CVE: CVE-2026-96440 (🔒)
GCVE (CVE): GCVE-0-2026-96440
GCVE (VulDB): GCVE-100-411247

Eintraginfo

Erstellt: 29.09.2026 11:16
Anpassungen: 29.09.2026 11:16 (67)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Do you want to use VulDB in your project?

Use the official API to access entries easily!