CVE catalog

CVE-2018-19052

lighttpd: CVE-2018-19052

[CVE catalog]

Severity
Medium · CVSS 5.9CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Published
Source
[NVD] · [CVE record]
EPSS
13.71% · Oct 25, 2026

An issue was discovered in mod_alias_physical_handler in mod_alias.c in lighttpd before 1.4.50. There is potential ../ path traversal of a single directory above an alias target, with a specific mod_alias configuration where the matched alias lacks a trailing '/' character, but the alias target filesystem path does have a trailing '/' character.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianlighttpdsid1.4.85-1fixed
Debianlighttpdforky1.4.85-1fixed
Debianlighttpdtrixie1.4.79-2fixed
Debianlighttpdbookworm1.4.69-1fixed
Ubuntulighttpdpro1.4.45-1ubuntu1vulnerable
Ubuntulighttpdpro1.4.45-1ubuntu3vulnerable
Ubuntulighttpdpro1.4.45-1ubuntu3+esm1vulnerable
Ubuntulighttpdpro1.4.45-1ubuntu3.18.04vulnerable
Ubuntulighttpdpro1.4.45-1ubuntu3.18.04+esm1vulnerable
Ubuntulighttpdpro1.4.45-1ubuntu3.18.04.1vulnerable
Ubuntulighttpdpro1.4.45-1ubuntu3.18.04.1+esm1fixed
Suselighttpdpackage hub 151.4.54-bp151.4.3.1fixed
Suselighttpdpackage hub 15 sp11.4.54-bp151.4.3.1fixed
Opensuselighttpdleap 15.01.4.54-bp151.4.3.1fixed
Opensuselighttpdleap 15.11.4.54-bp151.4.3.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianlighttpdsourcesid1.4.52-1not yet assignedNot reported[913528]
Debianlighttpdsourceforky1.4.52-1not yet assignedNot reported[913528]
Debianlighttpdsourcetrixie1.4.52-1not yet assignedNot reported[913528]
Debianlighttpdsourcebookworm1.4.52-1not yet assignedNot reported[913528]
Ubuntulighttpddebpro1.4.45-1ubuntu3.18.04.1+esm1Not reportedUBUNTU-CVE-2018-19052Not reported
Suselighttpdrpmpackage hub 151.4.54-bp151.4.3.1Not reportedOPENSUSE-SU-2019:2347-1Not reported
Suselighttpdrpmpackage hub 15 sp11.4.54-bp151.4.3.1Not reportedOPENSUSE-SU-2019:2347-1Not reported
Opensuselighttpdrpmleap 15.01.4.54-bp151.4.3.1Not reportedOPENSUSE-SU-2019:2347-1Not reported
Opensuselighttpdrpmleap 15.11.4.54-bp151.4.3.1Not reportedOPENSUSE-SU-2019:2347-1Not reported

[Debian bug #913528]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [lighttpd]Fixed
    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-doc]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · all · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · all · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-authn-gssapi]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-authn-pam]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-authn-sasl]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-deflate]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-gnutls]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-maxminddb]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-mbedtls]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-nss]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-openssl]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-modules-dbi]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-modules-ldap]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-modules-lua]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-modules-mysql]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-vhostdb-pgsql]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-webdav]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

  • [lighttpd-mod-wolfssl]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.69-1 · amd64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

    • 1.4.69-1 · arm64 · bookworm

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · bookworm; dsa · lighttpd · debian · 12

[Debian 13 (Trixie)]

  • [lighttpd]Fixed
    Details (2)

    • 1.4.79-2 · amd64 · trixie

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · 13

    • 1.4.79-2 · arm64 · trixie

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · 13

  • [lighttpd-doc]Fixed

    Source package: [lighttpd]

    Details (2)

    • 1.4.79-2 · all · trixie

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · 13

    • 1.4.79-2 · all · trixie

      Fixed · Fixed: 1.4.52-1

      dsa · lighttpd · debian · 13

Next results

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [SUSE security advisories and VEX]