CVE-2026-24479: falha crítica em zhblue hustoj
HUSTOJ has Arbitrary File Write (Zip Slip) in Problem Import Modules that leads to RCE
Publicada em
63Vexday Risk Score
Corrija em breve. Ela tem exploit funcional público.
ssvc Attendcvss 9.3epss 8.3%
da publicação à arma93 dias
Publicada no NVD27 de jan.
1ª PoC+93d
metasploit26 de jan.
probabilidade de exploração
8.3%top 5% das CVEs
exploração observada
nãonenhuma fonte reporta
1 exploit(s) público(s)
HUSTOF is an open source online judge based on PHP/C++/MySQL/Linux for ACM/ICPC and NOIP training. Prior to version 26.01.24, the problem_import_qduoj.php and problem_import_hoj.php modules fail to properly sanitize filenames within uploaded ZIP archives. Attackers can craft a malicious ZIP file containing files with path traversal sequences (e.g., ../../shell.php). When extracted by the server, this allows writing files to arbitrary locations in the web root, leading to Remote Code Execution (RCE). Version 26.01.24 contains a fix for the issue.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
zhblue · hustojPoCs públicas encontradas — 1
exploitdbwww.exploit-db.com/exploits/52539não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — zhblue hustoj
No mesmo produto, das mais perigosas para as menos.