Vulnerability Details CVE-2026-24479
HUSTOF is an open source online judge based on PHP/C++/MySQL/Linux for ACM/ICPC and NOIP training. Prior to version 26.01.24, the problem_import_qduoj.php and problem_import_hoj.php modules fail to properly sanitize filenames within uploaded ZIP archives. Attackers can craft a malicious ZIP file containing files with path traversal sequences (e.g., ../../shell.php). When extracted by the server, this allows writing files to arbitrary locations in the web root, leading to Remote Code Execution (RCE). Version 26.01.24 contains a fix for the issue.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.006
EPSS Ranking 68.0%
CVSS Severity
CVSS v3 Score 9.8
Products affected by CVE-2026-24479
-
cpe:2.3:a:hustoj:hustoj:15.12
-
cpe:2.3:a:hustoj:hustoj:16.05
-
cpe:2.3:a:hustoj:hustoj:16.05.2
-
cpe:2.3:a:hustoj:hustoj:16.05.3
-
cpe:2.3:a:hustoj:hustoj:16.05.4
-
cpe:2.3:a:hustoj:hustoj:16.05.5
-
cpe:2.3:a:hustoj:hustoj:16.07.1
-
cpe:2.3:a:hustoj:hustoj:16.08.10
-
cpe:2.3:a:hustoj:hustoj:16.11
-
cpe:2.3:a:hustoj:hustoj:16.11.02
-
cpe:2.3:a:hustoj:hustoj:16.11.03
-
cpe:2.3:a:hustoj:hustoj:16.11.04
-
cpe:2.3:a:hustoj:hustoj:16.12.01
-
cpe:2.3:a:hustoj:hustoj:16.12.02
-
cpe:2.3:a:hustoj:hustoj:17.01
-
cpe:2.3:a:hustoj:hustoj:17.01.30
-
cpe:2.3:a:hustoj:hustoj:17.01.31
-
cpe:2.3:a:hustoj:hustoj:17.02.08
-
cpe:2.3:a:hustoj:hustoj:17.05.10
-
cpe:2.3:a:hustoj:hustoj:17.05.30
-
cpe:2.3:a:hustoj:hustoj:17.06.01
-
cpe:2.3:a:hustoj:hustoj:17.10.08
-
cpe:2.3:a:hustoj:hustoj:17.12.23
-
cpe:2.3:a:hustoj:hustoj:17.12.29
-
cpe:2.3:a:hustoj:hustoj:17.12.29-2
-
cpe:2.3:a:hustoj:hustoj:18.02.05
-
cpe:2.3:a:hustoj:hustoj:18.02.09
-
cpe:2.3:a:hustoj:hustoj:18.02.20
-
cpe:2.3:a:hustoj:hustoj:18.03.15
-
cpe:2.3:a:hustoj:hustoj:18.03.19
-
cpe:2.3:a:hustoj:hustoj:18.03.25
-
cpe:2.3:a:hustoj:hustoj:18.04.03
-
cpe:2.3:a:hustoj:hustoj:18.05.23
-
cpe:2.3:a:hustoj:hustoj:18.06.04
-
cpe:2.3:a:hustoj:hustoj:18.06.16
-
cpe:2.3:a:hustoj:hustoj:18.07.13
-
cpe:2.3:a:hustoj:hustoj:18.07.17
-
cpe:2.3:a:hustoj:hustoj:18.08.02
-
cpe:2.3:a:hustoj:hustoj:18.08.13
-
cpe:2.3:a:hustoj:hustoj:18.08.14
-
cpe:2.3:a:hustoj:hustoj:18.08.25
-
cpe:2.3:a:hustoj:hustoj:18.09.17
-
cpe:2.3:a:hustoj:hustoj:18.09.26
-
cpe:2.3:a:hustoj:hustoj:18.10.03
-
cpe:2.3:a:hustoj:hustoj:18.10.21
-
cpe:2.3:a:hustoj:hustoj:18.10.24
-
cpe:2.3:a:hustoj:hustoj:18.10.29
-
cpe:2.3:a:hustoj:hustoj:18.11.06
-
cpe:2.3:a:hustoj:hustoj:18.12.08
-
cpe:2.3:a:hustoj:hustoj:18.12.22
-
cpe:2.3:a:hustoj:hustoj:18.4.18
-
cpe:2.3:a:hustoj:hustoj:18.4.25
-
cpe:2.3:a:hustoj:hustoj:18.4.30
-
cpe:2.3:a:hustoj:hustoj:19.01.01
-
cpe:2.3:a:hustoj:hustoj:19.01.21
-
cpe:2.3:a:hustoj:hustoj:19.03.27
-
cpe:2.3:a:hustoj:hustoj:19.04.21
-
cpe:2.3:a:hustoj:hustoj:19.04.30
-
cpe:2.3:a:hustoj:hustoj:19.05.07
-
cpe:2.3:a:hustoj:hustoj:19.05.13
-
cpe:2.3:a:hustoj:hustoj:19.05.14
-
cpe:2.3:a:hustoj:hustoj:19.05.15
-
cpe:2.3:a:hustoj:hustoj:19.05.16
-
cpe:2.3:a:hustoj:hustoj:19.05.17
-
cpe:2.3:a:hustoj:hustoj:19.05.18
-
cpe:2.3:a:hustoj:hustoj:19.05.19
-
cpe:2.3:a:hustoj:hustoj:19.05.25
-
cpe:2.3:a:hustoj:hustoj:19.05.27
-
cpe:2.3:a:hustoj:hustoj:19.06.01
-
cpe:2.3:a:hustoj:hustoj:19.06.04
-
cpe:2.3:a:hustoj:hustoj:19.06.08
-
cpe:2.3:a:hustoj:hustoj:19.06.09
-
cpe:2.3:a:hustoj:hustoj:19.06.10
-
cpe:2.3:a:hustoj:hustoj:19.06.12
-
cpe:2.3:a:hustoj:hustoj:19.06.13
-
cpe:2.3:a:hustoj:hustoj:19.06.18
-
cpe:2.3:a:hustoj:hustoj:19.06.21
-
cpe:2.3:a:hustoj:hustoj:19.06.24
-
cpe:2.3:a:hustoj:hustoj:19.07.01
-
cpe:2.3:a:hustoj:hustoj:19.07.03
-
cpe:2.3:a:hustoj:hustoj:19.07.06
-
cpe:2.3:a:hustoj:hustoj:19.07.06.02
-
cpe:2.3:a:hustoj:hustoj:19.07.12
-
cpe:2.3:a:hustoj:hustoj:19.07.13
-
cpe:2.3:a:hustoj:hustoj:19.07.15
-
cpe:2.3:a:hustoj:hustoj:19.07.17
-
cpe:2.3:a:hustoj:hustoj:19.07.18
-
cpe:2.3:a:hustoj:hustoj:19.08.01
-
cpe:2.3:a:hustoj:hustoj:19.08.06
-
cpe:2.3:a:hustoj:hustoj:19.08.07
-
cpe:2.3:a:hustoj:hustoj:19.08.23
-
cpe:2.3:a:hustoj:hustoj:19.08.26
-
cpe:2.3:a:hustoj:hustoj:19.08.28
-
cpe:2.3:a:hustoj:hustoj:19.09.17
-
cpe:2.3:a:hustoj:hustoj:19.09.17.2223
-
cpe:2.3:a:hustoj:hustoj:19.09.19
-
cpe:2.3:a:hustoj:hustoj:19.09.23
-
cpe:2.3:a:hustoj:hustoj:19.10.01
-
cpe:2.3:a:hustoj:hustoj:19.10.03
-
cpe:2.3:a:hustoj:hustoj:19.10.06
-
cpe:2.3:a:hustoj:hustoj:19.10.07
-
cpe:2.3:a:hustoj:hustoj:19.10.10
-
cpe:2.3:a:hustoj:hustoj:19.10.15
-
cpe:2.3:a:hustoj:hustoj:19.10.19
-
cpe:2.3:a:hustoj:hustoj:19.10.27
-
cpe:2.3:a:hustoj:hustoj:19.11.03
-
cpe:2.3:a:hustoj:hustoj:19.11.06
-
cpe:2.3:a:hustoj:hustoj:19.11.09
-
cpe:2.3:a:hustoj:hustoj:19.11.12
-
cpe:2.3:a:hustoj:hustoj:19.11.13
-
cpe:2.3:a:hustoj:hustoj:19.11.13-2
-
cpe:2.3:a:hustoj:hustoj:19.11.13-3
-
cpe:2.3:a:hustoj:hustoj:19.11.20
-
cpe:2.3:a:hustoj:hustoj:19.12.01
-
cpe:2.3:a:hustoj:hustoj:19.12.05
-
cpe:2.3:a:hustoj:hustoj:19.12.08
-
cpe:2.3:a:hustoj:hustoj:19.12.13
-
cpe:2.3:a:hustoj:hustoj:19.12.16
-
cpe:2.3:a:hustoj:hustoj:19.12.20
-
cpe:2.3:a:hustoj:hustoj:19.12.21
-
cpe:2.3:a:hustoj:hustoj:19.12.26
-
cpe:2.3:a:hustoj:hustoj:19.12.31
-
cpe:2.3:a:hustoj:hustoj:20.01.03
-
cpe:2.3:a:hustoj:hustoj:20.01.11
-
cpe:2.3:a:hustoj:hustoj:20.01.20
-
cpe:2.3:a:hustoj:hustoj:20.01.22
-
cpe:2.3:a:hustoj:hustoj:20.01.23
-
cpe:2.3:a:hustoj:hustoj:20.01.25
-
cpe:2.3:a:hustoj:hustoj:20.01.27
-
cpe:2.3:a:hustoj:hustoj:20.04.10
-
cpe:2.3:a:hustoj:hustoj:20.04.22
-
cpe:2.3:a:hustoj:hustoj:20.05.15
-
cpe:2.3:a:hustoj:hustoj:20.05.28
-
cpe:2.3:a:hustoj:hustoj:20.06.27
-
cpe:2.3:a:hustoj:hustoj:20.07.12
-
cpe:2.3:a:hustoj:hustoj:20.07.27
-
cpe:2.3:a:hustoj:hustoj:20.08.08
-
cpe:2.3:a:hustoj:hustoj:20.08.14
-
cpe:2.3:a:hustoj:hustoj:20.08.18
-
cpe:2.3:a:hustoj:hustoj:20.09.18
-
cpe:2.3:a:hustoj:hustoj:20.09.23
-
cpe:2.3:a:hustoj:hustoj:20.09.25
-
cpe:2.3:a:hustoj:hustoj:20.10.11
-
cpe:2.3:a:hustoj:hustoj:20.10.20
-
cpe:2.3:a:hustoj:hustoj:20.10.26
-
cpe:2.3:a:hustoj:hustoj:20.11.21
-
cpe:2.3:a:hustoj:hustoj:20.11.30
-
cpe:2.3:a:hustoj:hustoj:20.12.13
-
cpe:2.3:a:hustoj:hustoj:20.12.18
-
cpe:2.3:a:hustoj:hustoj:20.12.28
-
cpe:2.3:a:hustoj:hustoj:20.12.29
-
cpe:2.3:a:hustoj:hustoj:21.01.01
-
cpe:2.3:a:hustoj:hustoj:21.01.07
-
cpe:2.3:a:hustoj:hustoj:21.02.02
-
cpe:2.3:a:hustoj:hustoj:21.02.06
-
cpe:2.3:a:hustoj:hustoj:21.02.09
-
cpe:2.3:a:hustoj:hustoj:21.03.08
-
cpe:2.3:a:hustoj:hustoj:21.04.05
-
cpe:2.3:a:hustoj:hustoj:21.04.12
-
cpe:2.3:a:hustoj:hustoj:21.04.26
-
cpe:2.3:a:hustoj:hustoj:21.05.01
-
cpe:2.3:a:hustoj:hustoj:21.05.03
-
cpe:2.3:a:hustoj:hustoj:21.05.05
-
cpe:2.3:a:hustoj:hustoj:21.05.12
-
cpe:2.3:a:hustoj:hustoj:21.05.24
-
cpe:2.3:a:hustoj:hustoj:21.05.29
-
cpe:2.3:a:hustoj:hustoj:21.06.07
-
cpe:2.3:a:hustoj:hustoj:21.06.23
-
cpe:2.3:a:hustoj:hustoj:21.06.26
-
cpe:2.3:a:hustoj:hustoj:21.08.10
-
cpe:2.3:a:hustoj:hustoj:21.08.16
-
cpe:2.3:a:hustoj:hustoj:21.08.18
-
cpe:2.3:a:hustoj:hustoj:21.08.24
-
cpe:2.3:a:hustoj:hustoj:21.09.21
-
cpe:2.3:a:hustoj:hustoj:21.10.01
-
cpe:2.3:a:hustoj:hustoj:21.10.13
-
cpe:2.3:a:hustoj:hustoj:21.10.26
-
cpe:2.3:a:hustoj:hustoj:21.12.25
-
cpe:2.3:a:hustoj:hustoj:22.01.01
-
cpe:2.3:a:hustoj:hustoj:22.01.13
-
cpe:2.3:a:hustoj:hustoj:22.02.01
-
cpe:2.3:a:hustoj:hustoj:22.02.23
-
cpe:2.3:a:hustoj:hustoj:22.03.17
-
cpe:2.3:a:hustoj:hustoj:22.03.25
-
cpe:2.3:a:hustoj:hustoj:22.05.11
-
cpe:2.3:a:hustoj:hustoj:22.05.19
-
cpe:2.3:a:hustoj:hustoj:22.06.06
-
cpe:2.3:a:hustoj:hustoj:22.06.21
-
cpe:2.3:a:hustoj:hustoj:22.07.11
-
cpe:2.3:a:hustoj:hustoj:22.07.18
-
cpe:2.3:a:hustoj:hustoj:22.08.08
-
cpe:2.3:a:hustoj:hustoj:22.08.30
-
cpe:2.3:a:hustoj:hustoj:22.09.13
-
cpe:2.3:a:hustoj:hustoj:22.09.22
-
cpe:2.3:a:hustoj:hustoj:22.10.11
-
cpe:2.3:a:hustoj:hustoj:22.10.21
-
cpe:2.3:a:hustoj:hustoj:22.10.28
-
cpe:2.3:a:hustoj:hustoj:22.11.04
-
cpe:2.3:a:hustoj:hustoj:22.11.09
-
cpe:2.3:a:hustoj:hustoj:22.11.19
-
cpe:2.3:a:hustoj:hustoj:22.12.14
-
cpe:2.3:a:hustoj:hustoj:22.12.19
-
cpe:2.3:a:hustoj:hustoj:22.12.22
-
cpe:2.3:a:hustoj:hustoj:22.12.25
-
cpe:2.3:a:hustoj:hustoj:23.01.10
-
cpe:2.3:a:hustoj:hustoj:23.01.21
-
cpe:2.3:a:hustoj:hustoj:23.02.08
-
cpe:2.3:a:hustoj:hustoj:23.04.19
-
cpe:2.3:a:hustoj:hustoj:23.08.30
-
cpe:2.3:a:hustoj:hustoj:23.11.07
-
cpe:2.3:a:hustoj:hustoj:23.12.02
-
cpe:2.3:a:hustoj:hustoj:23.12.10
-
cpe:2.3:a:hustoj:hustoj:23.12.25
-
cpe:2.3:a:hustoj:hustoj:24.01.30
-
cpe:2.3:a:hustoj:hustoj:24.02.25
-
cpe:2.3:a:hustoj:hustoj:24.03.01
-
cpe:2.3:a:hustoj:hustoj:24.03.18
-
cpe:2.3:a:hustoj:hustoj:24.03.26
-
cpe:2.3:a:hustoj:hustoj:24.05.24
-
cpe:2.3:a:hustoj:hustoj:24.06.11
-
cpe:2.3:a:hustoj:hustoj:24.07.11
-
cpe:2.3:a:hustoj:hustoj:24.08.11
-
cpe:2.3:a:hustoj:hustoj:24.08.26
-
cpe:2.3:a:hustoj:hustoj:24.09.10
-
cpe:2.3:a:hustoj:hustoj:24.09.17
-
cpe:2.3:a:hustoj:hustoj:24.09.19
-
cpe:2.3:a:hustoj:hustoj:24.09.21
-
cpe:2.3:a:hustoj:hustoj:24.09.29
-
cpe:2.3:a:hustoj:hustoj:24.09.30
-
cpe:2.3:a:hustoj:hustoj:24.10.07
-
cpe:2.3:a:hustoj:hustoj:24.10.19
-
cpe:2.3:a:hustoj:hustoj:24.12.13
-
cpe:2.3:a:hustoj:hustoj:24.12.22
-
cpe:2.3:a:hustoj:hustoj:24.12.25
-
cpe:2.3:a:hustoj:hustoj:25.01.31
-
cpe:2.3:a:hustoj:hustoj:25.05.15
-
cpe:2.3:a:hustoj:hustoj:25.05.29
-
cpe:2.3:a:hustoj:hustoj:25.10.20
-
cpe:2.3:a:hustoj:hustoj:25.12.01
-
cpe:2.3:a:hustoj:hustoj:25.12.10
-
cpe:2.3:a:hustoj:hustoj:26.01.01