A vulnerability was identified in h2oai h2o-3 up to 7402. Affected by this issue is the function importFiles of the file h2o-core/src/main/java/water/persist/PersistNFS.java of the component ImportFile API. Such manipulation leads to information disclosure. The attack can be executed remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
CVE-2026-8750 is an information disclosure vulnerability in H2O-3's ImportFile API that allows remote attackers to access sensitive data through the PersistNFS component. The vulnerability affects H2O-3 versions up to 7402 and has a publicly available exploit with no vendor response.
تؤثر هذه الثغرة على مكون PersistNFS في واجهة برمجة تطبيقات ImportFile في H2O-3، مما يسمح بالكشف غير المصرح به عن المعلومات الحساسة. يمكن تنفيذ الهجوم عن بعد دون الحاجة إلى مصادقة، مما يشكل خطراً على سرية البيانات المخزنة في أنظمة H2O-3.
ثغرة CVE-2026-8750 هي عيب في الكشف عن المعلومات في واجهة برمجة تطبيقات ImportFile في H2O-3 يسمح للمهاجمين البعيدين بالوصول إلى البيانات الحساسة. تؤثر الثغرة على إصدارات H2O-3 حتى 7402 وتحتوي على استغلال متاح للجمهور بدون رد من البائع.
Immediately upgrade H2O-3 to a patched version beyond 7402, disable or restrict access to the ImportFile API if not required, implement network segmentation to limit remote access to H2O-3 instances, monitor file access logs for suspicious importFiles operations, and apply input validation controls on file import operations.
قم بترقية H2O-3 فوراً إلى إصدار مصحح يتجاوز 7402، قم بتعطيل أو تقييد الوصول إلى واجهة ImportFile إذا لم تكن مطلوبة، قم بتنفيذ تقسيم الشبكة لتحديد الوصول البعيد إلى مثيلات H2O-3، راقب سجلات الوصول إلى الملفات للعمليات المريبة في importFiles، وطبق عناصر التحقق من صحة الإدخال على عمليات استيراد الملفات.