CVE-2026-22677 in hermes-webui
Сводка
по VulDB • 13.05.2026
В Hermes WebUI до версии 0.51.44 - Release T присутствует уязвимость обхода пути (path traversal) в конечной точке импорта сессий, которая позволяет аутентифицированным злоумышленникам читать произвольные файлы путем импорта специально созданной сессии со значением рабочей области (workspace), не ограниченным проверками. Злоумышленники могут указать заблокированный корневой каталог файловой системы в поле workspace, а затем использовать относительные пути в API файлов сессии для доступа к любому файлу, доступному для чтения процессом WebUI.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.