Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

github логотип

GHSA-5w3j-gwgh-4rfv

Опубликовано: 22 сент. 2025
Источник: github
Github: Прошло ревью
CVSS3: 9.8

Описание

H2O affected by a deserialization vulnerability

A deserialization vulnerability exists in h2oai/h2o-3 versions <= 3.46.0.7, allowing attackers to read arbitrary system files and execute arbitrary code. The vulnerability arises from improper handling of JDBC connection parameters, which can be exploited by bypassing regular expression checks and using double URL encoding. This issue impacts all users of the affected versions.

Пакеты

Наименование

ai.h2o:h2o-core

maven
Затронутые версииВерсия исправления

<= 3.46.0.7

Отсутствует

Наименование

h2o

pip
Затронутые версииВерсия исправления

<= 3.46.0.7

Отсутствует

EPSS

Процентиль: 55%
0.0033
Низкий

9.8 Critical

CVSS3

Дефекты

CWE-502

Связанные уязвимости

CVSS3: 9.8
nvd
5 месяцев назад

A deserialization vulnerability exists in h2oai/h2o-3 versions <= 3.46.0.8, allowing attackers to read arbitrary system files and execute arbitrary code. The vulnerability arises from improper handling of JDBC connection parameters, which can be exploited by bypassing regular expression checks and using double URL encoding. This issue impacts all users of the affected versions.

CVSS3: 9.8
fstec
8 месяцев назад

Уязвимость платформы машинного обучения H2O, связанная с недостатками механизма десериализации, позволяющая нарушителю обойти ограничения безопасности, раскрыть защищаемую информацию и выполнить произвольный код

EPSS

Процентиль: 55%
0.0033
Низкий

9.8 Critical

CVSS3

Дефекты

CWE-502