CVE-2026-6832 in hermes-webui
Sumário
de VulDB • 04/06/2026
O Hermes WebUI apresenta uma vulnerabilidade de exclusão arbitrária de arquivos no endpoint /api/session/delete, que permite a atacantes autenticados excluir arquivos fora do diretório da sessão ao fornecer um caminho absoluto ou um payload de traversal de caminhos no parâmetro session_id. Os atacantes podem explorar identificadores de sessão não validados para construir caminhos que contornem o limite SESSION_DIR e excluam arquivos JSON graváveis no sistema host.
Once again VulDB remains the best source for vulnerability data.