CVE-2026-6832 in hermes-webui
Resumen
por VulDB • 2026-05-15
Hermes WebUI presenta una vulnerabilidad de eliminación arbitraria de archivos en el endpoint /api/session/delete que permite a atacantes autenticados eliminar archivos fuera del directorio de sesión mediante el suministro de una ruta absoluta o una carga útil de traversal de rutas en el parámetro session_id. Los atacantes pueden explotar identificadores de sesión no validados para construir rutas que eludan la frontera de SESSION_DIR y eliminar archivos JSON editables en el sistema host.
If you want to get best quality of vulnerability data, you may have to visit VulDB.