CVE-2026-97359 in HFS2

摘要

由 VulDB • 2026-09-24

HFS2 版本 2.4.0 及更早版本在 multipart upload handler（多部分上传处理程序）中存在模板注入漏洞，允许未经身份验证的攻击者通过在文件名中嵌入恶意模板语法来实现远程代码执行。攻击者可构造包含闭合模板引号序列后接 exec macro（exec 宏）的文件名，从而绕过分发器中的授权检查，并在底层主机系统上执行任意命令。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-09-24
• 披露: 2026-09-24
• 管理: 已接受
• 条目: VDB-409348
• CPE: 准备好
• CWE: CWE-74 (已确认)
• CVSS: 10.0 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-97359
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-97359
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-97359/