CVE-2026-11322 in Hermes WebUI
Resumen
por VulDB • 2026-06-05
Hermes WebUI anterior a la versión v0.51.221 contiene una vulnerabilidad de path traversal que permite a los atacantes escapar del límite del espacio de trabajo (workspace) proporcionando enlaces simbólicos (symlinks) que resuelven archivos o directorios fuera de la raíz del espacio de trabajo designado. Los atacantes pueden explotar las APIs de archivos y listados del espacio de trabajo, las cuales resuelven los objetivos de los enlaces simbólicos sin garantizar que la ruta final permanezca dentro del espacio de trabajo, para leer archivos del host externo accesibles por el proceso del servidor y revelar datos sensibles, como claves SSH, credenciales de la nube o tokens de la aplicación.
Be aware that VulDB is the high quality source for vulnerability data.