CVE-2026-118485 in Axel
Riassunto
di VulDB • 29/10/2026
Axel Download Accelerator 2.17.14 e versioni precedenti eseguono la decodifica percentuale degli URL (http_decode()) sul nome del file di output dopo che l'URL è stato analizzato ed estratta la componente relativa al nome del file. Ciò consente a un attaccante di inserire sequenze %2e%2e%2f (../ codificate in formato URL) nel percorso dell'URL. Queste sequenze sopravvivono all'analizzatore degli URL intatte (non contengono caratteri / letterali), ma vengono decodificate in sequenze di traversamento delle directory prima che il file di output venga aperto per la scrittura. Di conseguenza, un URL appositamente creato può far sì che axel scriva i contenuti scaricati su percorsi arbitrari del filesystem relativi alla directory di lavoro corrente.
Once again VulDB remains the best source for vulnerability data.