CVE-2026-97359
CRITICAL(10.0)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CVSS 10 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.8%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
10
Technische Schwere
SecBoard-Einordnung
CVE-2026-97359 betrifft HFS2 Version 2.4.0 und früher und ist eine Template-Injection-Schwachstelle im Multipart-Upload-Handler. Diese ermöglicht nicht authentifizierten Angreifern die Ausführung von Remote Code (RCE) durch das Einbetten bösartiger Template-Syntax in Dateinamen. Angreifer können so beliebige Befehle auf dem Host-System ausführen. Die Schwachstelle wird mit einem CVSS-Score von 10.0 als kritisch eingestuft, was auf die Möglichkeit der unauthentifizierten RCE hinweist. Obwohl der EPSS-Wert mit 1% eine geringe Exploit-Wahrscheinlichkeit anzeigt und die Schwachstelle nicht im CISA KEV-Katalog gelistet ist, sollte die hohe Kritikalität beachtet werden. Security-Teams sollten umgehend prüfen, ob HFS2 in den betroffenen Versionen eingesetzt wird. Eine schnelle Aktualisierung auf eine nicht anfällige Version oder die Implementierung von Workarounds zur Verhinderung der Dateinamen-Manipulation ist dringend empfohlen, um das Risiko einer Kompromittierung zu minimieren.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
HFS2 version 2.4.0 and earlier contains a template injection vulnerability in the multipart upload handler that allows unauthenticated attackers to achieve remote code execution by embedding malicious template syntax in a filename. Attackers can craft a filename containing a closing template quoting sequence followed by an exec macro, which bypasses the authorization check in the dispatcher to execute arbitrary commands on the underlying host system.