CVE-2026-118485

CVSS 8.1 HIGH Lộ dữ liệu

Axel Download Accelerator Path Traversal via URL Filename Decoding

Công bố: 2026-10-28
Cập nhật: 2026-10-28
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

Axel Download Accelerator 2.17.14 and earlier performs URL percent-decoding (http_decode()) on the output filename after the URL has been parsed and the filename component extracted. This allows an attacker to embed %2e%2e%2f (URL-encoded ../) sequences in the URL path. These sequences survive the URL parser intact (they contain no literal / characters) but are decoded into directory traversal sequences before the output file is opened for writing. As a result, a crafted URL can cause axel to write downloaded content to arbitrary filesystem paths relative to the current working directory.

Điểm và phân loại

CVSS: 8.1 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-24

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Ảnh hưởng

Sản phẩm

Axel Download Accelerator Axel

Vì sao được giữ

CVSS 8.1 >= 8.0

Loại tác động

Lộ dữ liệu: từ khoá "path traversal"; từ khoá "directory traversal"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: OCD