Caddy Seite 14

Im Windows Resilient File System (ReFS) besteht laut NVD ein heap-basierter Pufferüberlauf, der es einem nicht autorisierten Angreifer ermöglicht, Code lokal auszuführen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffen ist laut Zuordnung Microsoft Windows sowie Light Code Labs.

IBM WebSphere Application Server 9.0 und 8.5 ist über eine Schwachstelle im SOAP/JMX-Connector von Remote-Code-Ausführung betroffen. CVSS-Basiswert: 8.5 (Hoch). Ein EPSS-Wert liegt für diese CVE nicht vor.

Das DNG SDK in Version 1.7.1 2536 und früher ist laut NVD von einem Stack-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 7.8 (Hoch).

Acrobat Reader ist von einem Heap-basierten Buffer Overflow betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Media Encoder ist laut NVD von einem stack-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

In Adobe Premiere Pro ermöglicht ein heap-basierter Pufferüberlauf die Ausführung von beliebigem Code im Kontext des aktuellen Benutzers. Die Ausnutzung erfordert eine Interaktion des Nutzers. CVSS-Basiswert: 7.8 (Hoch).

Bridge ist von einer Heap-basierten Pufferüberlauf-Schwachstelle betroffen, die im Kontext des aktuellen Benutzers zur Ausführung beliebigen Codes führen kann. Die Ausnutzung setzt eine Interaktion des Benutzers voraus. CVSS-Basiswert: 7.8 (Hoch).

In code-projects Task Management System In PHP 1.0 besteht eine Schwachstelle in einer nicht näher spezifizierten Funktionalität der Datei /index.php innerhalb der Login-Komponente. Laut Quelle ermöglicht eine Manipulation einen Angriff; weitere Details liegen in den verfügbaren Quelldaten nicht vor. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In code-projects Simple IT Discussion Forum 1.0 besteht eine Schwachstelle in einer unbekannten Funktion der Datei /question-function.php. Die Manipulation des Arguments content führt zu SQL-Injection. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Use-after-free-Fehler in der Input-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Chromium stuft den Schweregrad intern als High ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In Windows NTFS besteht ein Heap-basierter Pufferüberlauf, über den ein nicht authentifizierter Angreifer lokal beliebigen Code ausführen kann. Betroffen ist Microsoft Windows. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die von Microsoft bereitgestellten Sicherheitsupdates einspielen.

Ein Heap-basierter Pufferüberlauf in Microsoft Office OneNote ermöglicht einem nicht authentifizierten Angreifer die lokale Ausführung von Code. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Animate ist von einer Path-Traversal-Schwachstelle (unzureichende Einschränkung eines Pfadnamens auf ein beschränktes Verzeichnis) betroffen, die zur Ausführung von Code im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

In ClipBucket v5 (Version 5.5.2) erlaubt eine Schwachstelle die Ausführung von beliebigem Code über die Authentifizierungsschnittstelle, den Login-Endpunkt und die Komponenten für HTTP-Response-Sicherheits-Header. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: betroffene Installationen gemäss Hersteller-Advisory aktualisieren.

In der AdFilter-Komponente von Google Chrome vor Version 151.0.7922.72 führt eine unangemessene Implementierung dazu, dass ein entfernter Angreifer über eine präparierte HTML-Seite beliebigen Code innerhalb einer Sandbox ausführen kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer einspielen.

In der NTFS-Komponente von Microsoft Windows besteht ein Heap-basierter Pufferüberlauf. Ein authentifizierter Angreifer kann darüber lokal Code ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: verfügbare Microsoft-Sicherheitsupdates einspielen.

In Windows NTFS ermöglicht ein Heap-basierter Pufferüberlauf einem bereits authentifizierten Angreifer, lokal Code auszuführen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In code-projects Simple Laundry System 1.0 betrifft eine Schwachstelle einen nicht näher bestimmten Teil der Datei /userchecklogin.php. Die Manipulation des Parameters userid lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Im code-projects Simple IT Discussion Forum 1.0 betrifft eine Schwachstelle eine unbekannte Funktion der Datei /functions/addcomment.php. Durch Manipulation des Arguments postid lässt sich die Verarbeitung beeinflussen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Herstellerhinweise beachten und ein Update einspielen, sobald verfügbar.

In NLnet Labs Unbound von Version 1.22.0 bis einschliesslich 1.25.1 umgehen laut Quelle bei aktiviertem downstream-DNS-over-QUIC (DoQ) die ersten beiden bidirektionalen Streams einer neuen QUIC-Verbindung (stream_id 0 und 4) eine Begrenzung. Die Schwachstelle ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und beeinträchtigt die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ein fehlerbereinigter Stand sollte eingespielt werden.

In Bridge ermöglicht ein Integer Overflow beziehungsweise Wraparound die Ausführung von Code im Kontext des aktuellen Benutzers. Die Ausnutzung dieser Schwachstelle erfordert eine Interaktion des Nutzers. CVSS-Basiswert: 7.8 (Hoch).

In Versionen vor 0.30.0 werden mutierende Code-Aktionen fälschlich als read-only-Operationen eingestuft, wodurch eine Autorisierungsumgehung entsteht. Angreifer mit auf Lesen beschränkten Sitzungen können dadurch Aktionen ausführen, die eigentlich Schreibrechte voraussetzen würden. CVSS-Basiswert: 8.1 (Hoch). Zu Ausnutzungswahrscheinlichkeit und aktiver Ausnutzung liegen keine Angaben vor.

Eine Out-of-bounds-Read-Schwachstelle in der Microsoft Graphics Component ermöglicht einem nicht authentifizierten Angreifer die lokale Ausführung von Code. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In SeaCMS bis Version 13.6 wurde in der Funktion parseIf der Datei search.php der Komponente Template Engine eine Schwachstelle festgestellt. Die Manipulation des Arguments searchtype führt laut Quellbeschreibung zu einer Codeausführung. Die Lücke ist aus dem Netzwerk ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 7.3 (Hoch).

In Sourcetree für Mac und Sourcetree für Windows besteht eine als hoch eingestufte Schwachstelle, die Remote Code Execution ermöglicht und laut Quelle mit Version 3.4.11 eingeführt wurde. Laut CVSS-Vektor ist die Lücke über das Netzwerk ausnutzbar, jedoch mit hoher Angriffskomplexität, niedrigen Rechten und erforderlicher Nutzerinteraktion; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Use-after-free-Fehler in der Extensions-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte Chrome-Erweiterung beliebigen Code innerhalb der Sandbox auszuführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In JetBrains IntelliJ IDEA vor Version 2026.2 war über Formulardateien des UI Designers eine Injektion beliebigen Codes möglich. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf IntelliJ IDEA 2026.2 oder neuer.

In GitHub Copilot besteht eine unzureichende Einschränkung von Datei- und Ressourcennamen (Improper Restriction of Names for Files and Other Resources). Ein nicht autorisierter Angreifer kann darüber lokal Code ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die betroffene Komponente auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

In DedeCMS bis Version 5.7.118 wurde in einer unbekannten Funktion der Datei plus/mytag_js.php eine Schwachstelle gefunden. Die Manipulation des Arguments aid führt laut NVD zu Code-Injection. CVSS-Basiswert: 7.3 (Hoch).

In misp-stix wurde eine Denial-of-Service-Schwachstelle festgestellt, wenn von Angreifern kontrollierte STIX-1- oder STIX-2-Dokumente verarbeitet werden. Der STIX-Import-Code nutzte sys.exit(), um mehrere Parsing- und Ladefehler zu behandeln. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In VibeSurf (bis Commit cd6e519d507cdd4d63061300bf60fb176e1f57e0) wurde eine Schwachstelle in einer bislang unbekannten Funktion der Datei /code der Komponente Python Validation Handler gefunden. CVSS-Basiswert: 7.3 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Das WordPress-Plugin Premium Packages – Sell Digital Products Securely ist über den Parameter code des REST-API-Endpunkts POST /wp-json/wpdmpp/v1/cart/coupon anfällig für SQL-Injection. CVSS-Basiswert: 7.5 (Hoch).

In der Codecs-Komponente von Google Chrome vor Version 151.0.7922.72 besteht ein Heap-Buffer-Overflow. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine Race-Condition (unsachgemässe Synchronisierung gemeinsam genutzter Ressourcen) in Windows TCP/IP erlaubt einem nicht autorisierten Angreifer die Codeausführung über ein angrenzendes Netzwerk. CVSS-Basiswert: 8.8 (Hoch).

Open ISES Tickets vor Version 3.44.2 enthält fest im Quellcode hinterlegte MySQL-Zugangsdaten (Host, Benutzername, Passwort und Datenbankname) in der Datei import_mdb.php. Die Zugangsdaten sind unmittelbar im Quellcode eingebettet. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 3.44.2 oder höher aktualisieren.

Im .NET Framework erlaubt eine unzureichende Kontrolle bei der Codegenerierung (Code Injection) einem nicht autorisierten Angreifer, lokal seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im DHCP-Client von Microsoft Windows besteht eine Use-after-free-Schwachstelle, über die ein nicht autorisierter Angreifer lokal Code ausführen kann. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: die von Microsoft bereitgestellten Sicherheitsupdates einspielen.

CAI Content Credentials ist von einer Server-Side-Request-Forgery-Schwachstelle (SSRF) betroffen, die im Kontext des aktuellen Benutzers zu beliebiger Codeausführung führen kann. Ein Angreifer könnte die Schwachstelle laut Quelldaten entsprechend ausnutzen. CVSS-Basiswert: 8.2 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Apptha Slider Gallery 1.0 enthält eine SQL-Injection-Schwachstelle, über die nicht authentifizierte Angreifer durch Einschleusen von Schadcode im Parameter albid beliebige SQL-Abfragen ausführen können. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

MeltanoHub ist der Quellcode für hub.meltano.com, die zentrale Anlaufstelle für Meltano-Plugins. Versionen des Repositories vor dem Commit 923820de8f64d753951fbbd54f7282a3d5f75173 waren laut Quelle für Exfiltration anfällig. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk, mit geringer Komplexität, ohne Rechte und ohne Nutzerinteraktion und gefährdet die Integrität. Die Ausnutzungswahrscheinlichkeit (EPSS) beträgt 0.3 %. Ein fehlerbereinigter Stand sollte eingespielt werden.

Illustrator ist von einer Untrusted-Search-Path-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellte, korrigierte Version einspielen.

Adobe Bridge ist von einer Untrusted-Pointer-Dereference-Schwachstelle betroffen, die im Kontext des aktuellen Benutzers zur Ausführung beliebigen Codes führen kann. CVSS-Basiswert: 7.8 (Hoch).

In NLnet Labs Unbound von Version 1.23.0 bis einschliesslich 1.25.1 wird laut Quelle bei aktivierter Option dns-error-reporting die EDNS-Report-Channel-Option (Code 18) aus der letzten Antwort des Upstreams verarbeitet. Die Schwachstelle ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und wirkt sich auf die Verfügbarkeit aus. CVSS-Basiswert: 7.5 (Hoch). Ein fehlerbereinigter Stand sollte eingespielt werden.

In code-projects Online Music Site 1.0 besteht eine Schwachstelle in einer nicht näher bestimmten Verarbeitung der Datei /Frontend/Search.php. Durch Manipulation des Arguments Category lässt sich eine SQL-Injection auslösen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine konkrete Herstellermassnahme liegt in den Quelldaten nicht vor.

In Netatalk 3.1.0 bis 4.4.2 erlauben mehrere Heap-Out-of-bounds-Reads im Unmarshalling-Code des Spotlight-RPC einem entfernten, authentifizierten Angreifer, an sensible Informationen zu gelangen oder eine geringfügige Dienststörung auszulösen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffen sind im Feed die überwachten Produktbereiche Light Code Labs und SimpleHelp Ltd. Empfohlene Massnahme: auf eine fehlerbereinigte Netatalk-Version aktualisieren.

In DayuanJiang next-ai-draw-io 0.4.13 besteht eine Cross-Site-Scripting-Schwachstelle, über die ein entfernter Angreifer per mcp-Parameter beliebigen Code ausführen kann. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Schedule-Funktion von Devolutions PowerShell Universal 2026.2.2 und früher besteht laut Quellbeschreibung eine unsachgemässe Kontrolle der Code-Erzeugung (Code Injection), die ein authentifizierter Benutzer mit Berechtigung zum Anlegen von Schedules ausnutzen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

In Devolutions PowerShell Universal 2026.2.2 und früher erlaubt eine unzureichende Kontrolle der Code-Generierung in der Variablen-Funktion einem authentifizierten Benutzer mit Schreibrechten auf Variablen das Einschleusen von Code. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren und Schreibrechte auf Variablen restriktiv vergeben.

Das WordPress-Plugin Survey & Poll 1.5.7.3 enthält eine SQL-Injection-Schwachstelle, die es nicht authentifizierten Angreifern erlaubt, über den wp_sap-Cookie beliebige SQL-Abfragen auszuführen. Die Ausnutzung erfolgt über das Netzwerk ohne Benutzerinteraktion; laut CVSS-Vektor wirkt sie sich auf die Vertraulichkeit voll und auf die Integrität teilweise aus. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In den Versionen 2.1.63 bis 2.1.83 von Claude Code verwendete die Logik zur Bestimmung der Ordner-Vertrauenswürdigkeit die git-worktree-Datei commondir, ohne deren Inhalt zu prüfen. Ein Angreifer könnte ein bösartiges Repository mit einer commondir-Datei erstellen, die auf einen vom Opfer zuvor als vertrauenswürdig eingestuften Pfad zeigt, wodurch Claude Code seinen Trust-Bestätigungsdialog umgeht und sofort in .claude/settings.json definierte Hooks ausführt. Die Ausnutzung erfordert, dass das Opfer das bösartige Repository klont und Claude Code darin ausführt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 2.1.84.