CVE-2026-24479: fallo crítico en zhblue hustoj
HUSTOJ has Arbitrary File Write (Zip Slip) in Problem Import Modules that leads to RCE
Publicada el
63Vexday Risk Score
Corrige pronto. Ella tiene exploit funcional público.
ssvc Attendcvss 9.3epss 8.3%
de la publicación al arma93 días
Publicada en NVD27 ene
1ª PoC+93d
metasploit26 ene
probabilidad de explotación
8.3%top 5% de las CVE
explotación observada
noninguna fuente lo reporta
1 exploit(s) público(s)
HUSTOF is an open source online judge based on PHP/C++/MySQL/Linux for ACM/ICPC and NOIP training. Prior to version 26.01.24, the problem_import_qduoj.php and problem_import_hoj.php modules fail to properly sanitize filenames within uploaded ZIP archives. Attackers can craft a malicious ZIP file containing files with path traversal sequences (e.g., ../../shell.php). When extracted by the server, this allows writing files to arbitrary locations in the web root, leading to Remote Code Execution (RCE). Version 26.01.24 contains a fix for the issue.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
zhblue · hustojPoCs públicas encontradas — 1
exploitdbwww.exploit-db.com/exploits/52539no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — zhblue hustoj
En el mismo producto, de las más peligrosas a las menos.