CVE-2025-10768 | THREATINT

Description

A flaw has been found in h2oai h2o-3 up to 3.46.08. The impacted element is an unknown function of the file /99/ImportSQLTable of the component IBMDB2 JDBC Driver. This manipulation of the argument connection_url causes deserialization. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Eine Schwachstelle wurde in h2oai h2o-3 up to 3.46.08 gefunden. Betroffen davon ist ein unbekannter Prozess der Datei /99/ImportSQLTable der Komponente IBMDB2 JDBC Driver. Mit der Manipulation des Arguments connection_url mit unbekannten Daten kann eine deserialization-Schwachstelle ausgenutzt werden. Umgesetzt werden kann der Angriff über das Netzwerk. Die Ausnutzung wurde veröffentlicht und kann verwendet werden.

PUBLISHED Reserved 2025-09-21 | Published 2025-09-21 | Updated 2025-09-22 | Assigner VulDB

MEDIUM: 5.3CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P

MEDIUM: 6.3CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R

MEDIUM: 6.3CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R

6.5AV:N/AC:L/Au:S/C:P/I:P/A:P/E:POC/RL:ND/RC:UR

Problem types

Deserialization

Improper Input Validation

Product status

3.46.08

affected

Timeline

2025-09-21:	Advisory disclosed
2025-09-21:	VulDB entry created
2025-09-21:	VulDB entry last update

Credits

ez-lbz (VulDB User) reporter

References

github.com/ez-lbz/poc/issues/50 exploit

vuldb.com/?id.325124 (VDB-325124 | h2oai h2o-3 IBMDB2 JDBC Driver ImportSQLTable deserialization) vdb-entry technical-description

vuldb.com/?ctiid.325124 (VDB-325124 | CTI Indicators (IOB, IOC, IOA)) signature permissions-required

vuldb.com/?submit.649508 (Submit #649508 | h2oai h2o-3 <=v3.46.08 Deserialization) third-party-advisory

github.com/ez-lbz/poc/issues/50 exploit issue-tracking

cve.org (CVE-2025-10768)

nvd.nist.gov (CVE-2025-10768)

Download JSON