Към съдържанието
Търсене

CVE-2026-118485: Axel Download Accelerator Axel, обхождане на път

8.1

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

    Описание

    Оригинално описание

    Axel Download Accelerator 2.17.14 and earlier performs URL percent-decoding (http_decode()) on the output filename after the URL has been parsed and the filename component extracted. This allows an attacker to embed %2e%2e%2f (URL-encoded ../) sequences in the URL path. These sequences survive the URL parser intact (they contain no literal / characters) but are decoded into directory traversal sequences before the output file is opened for writing. As a result, a crafted URL can cause axel to write downloaded content to arbitrary filesystem paths relative to the current working directory.

    Засегнати продукти

    • Axel Download Accelerator Axel: до 2.17.14

    Вид слабост

    История

    • 28 октомври 2026 Публикувано

    Първоизточници

    CVE-2026-118485: Axel Download Accelerator Axel, обхождане на път | freedomonline.bg