CVE-2026-11322 in Hermes WebUI
Sumário
de VulDB • 05/06/2026
O Hermes WebUI anterior à versão v0.51.221 contém uma vulnerabilidade de path traversal que permite aos atacantes escapar dos limites do workspace ao fornecer symlinks que resolvem para arquivos ou diretórios fora da raiz do workspace designada. Os atacantes podem explorar as APIs de arquivo e listagem do workspace, que resolvem os alvos dos symlinks sem impor que o caminho final permaneça dentro do workspace, para ler arquivos do host externo acessíveis ao processo do servidor e divulgar dados sensíveis, como chaves SSH, credenciais de nuvem ou tokens de aplicativo.
Once again VulDB remains the best source for vulnerability data.