Caddy Seite 23

Für CVE-2020-15795 liegt bei Axis Communications ein Sicherheitshinweis vor; laut Zuordnung sind zudem Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft und Caddy (Light Code Labs) betroffen. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 6.4 %.

Für diese CVE liegt in den Quelldaten keine technische Detailbeschreibung vor; als Quelle ist lediglich die allgemeine Sicherheitsadvisory-Übersicht von Axis verzeichnet. Die Zuordnung umfasst zusätzlich Produkte von Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft sowie Light Code Labs (Caddy). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.7 %.

Für CVE-2020-27737 liegt bei Axis ein Sicherheitshinweis vor. Nähere technische Details zur Schwachstelle sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.6 %.

Für CVE-2020-27736 liegt bei Axis Communications ein Sicherheitshinweis vor; laut Zuordnung sind zudem Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft und Caddy (Light Code Labs) betroffen. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.6 %.

Kiota ist ein Codegenerator für HTTP-Clients auf Basis von OpenAPI. Laut Quelle liest der Befehl kiota info vor Version 1.32.5 den Wert x-ms-kiota-info.languagesInformation.<language>.dependencyInstallCommand sowie Name und Version von Abhängigkeiten aus der OpenAPI-Beschreibung aus; weitere Details zur genauen Auswirkung liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.2 %. Empfohlene Massnahme: auf Version 1.32.5 oder neuer aktualisieren.

Eine Schwachstelle erlaubt einem authentifizierten Domänenbenutzer die Remote-Code-Ausführung (RCE) auf dem Backup-Server. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

DbGate, ein plattformübergreifender Datenbankmanager, ist in Version 7.1.8 und älter für authentifizierte Remote Code Execution (RCE) anfällig. Jeder Benutzer mit gültigen DbGate-Zugangsdaten kann beliebige Betriebssystembefehle ausführen. Ein CVSS-Basiswert und ein EPSS-Wert liegen in den Quelldaten nicht vor. Empfohlene Massnahme: auf eine Version neuer als 7.1.8 aktualisieren.

In MoussaabBadla code-screenshot-mcp bis Version 0.1.0 besteht in der HTTP-Schnittstelle eine Schwachstelle, deren Manipulation zu einer Betriebssystem-Befehlseinschleusung (OS Command Injection) führt. Ein Angreifer kann darüber Befehle auf dem Host ausführen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

In ScrapeGraphAI scrapegraph-ai bis Version 1.74.0 besteht eine Schwachstelle in der Funktion create_sandbox_and_execute der Datei scrapegraphai/nodes/generate_code_node.py. Eine entsprechende Manipulation ermöglicht den Angriff. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

In Kaltura-Versionen vor 11.1.0-2 besteht eine Schwachstelle zur Remote-Codeausführung durch unsichere Deserialisierung nutzerkontrollierter Daten im Modul keditorservices. Laut Quelldaten kann ein nicht authentifizierter Angreifer aus der Ferne agieren. CVSS-Angaben liegen hierzu nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %. Betroffen sind SimpleHelp- und Caddy-Umgebungen.

Kiota ist ein OpenAPI-basierter HTTP-Client-Code-Generator. Vor Version 1.32.5 gab Kiota die Werte x-ms-kiota-info clientClassName und clientNamespaceName ohne Identifier- oder Pfad-Sanitisierung aus; weitere Details zur Auswirkung liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft sowie Light Code Labs) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Kiota ist ein OpenAPI-basierter Codegenerator für HTTP-Clients. Vor Version 1.32.4 bettet der PHP-Generator von Kiota OpenAPI-Beschreibungen, Default-Felder, Property-Namen und weitere aus dem Schema abgeleitete Zeichenketten in PHP-Code ein; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Die Schwachstelle ist ab Version 1.32.4 behoben.

Kiota ist ein OpenAPI-basierter HTTP-Client-Codegenerator. Vor Version 1.32.3 ist Kiota von einer Code-Generation-Injection-Schwachstelle im C#-XML-Dokumentationskommentar-Sink betroffen, unter anderem über das description-Feld; weitere Angaben liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Laut NVD besteht in Microsoft Edge (Chromium-based) ein Buffer-Over-Read, der es einem authentifizierten Angreifer ermöglicht, Code über das Netzwerk auszuführen. CVSS-Basiswert: 6.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

In EGroupware wurde eine Schwachstelle identifiziert, die zu Remote Code Execution (RCE) führen kann. Laut Quellbeschreibung erlaubt sie einem authentifizierten Angreifer, beliebige Befehle auf dem Server auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Betreiber sollten verfügbare Aktualisierungen der betroffenen Software einspielen.

In phenixdigital phoenix_storybook besteht eine Code-Injection-Schwachstelle, die unauthentifizierte Remote-Code-Ausführung ermöglicht. Ursache ist die ungefilterte Interpolation von Attributwerten bei der Generierung von HEEx-Templates. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In Easy Chat Server 3.1 erlaubt eine Directory-Traversal-Schwachstelle einem entfernten Angreifer über den UserName-Parameter den Zugriff auf sensible Informationen sowie die Ausführung beliebigen Codes. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In der webbasierten Prozessvisualisierungs-Software FUXA (SCADA/HMI/Dashboard) erlauben die Versionen 1.2.11 bis 1.3.1 einem nicht authentifizierten Angreifer aus der Ferne die vollständige Remotecodeausführung (RCE) mit root-Rechten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: bereitgestellte Hersteller-Updates einspielen.

In eGroupware Version 26.0 und früher kann ein authentifizierter Administrator durch das Hochladen einer manipulierten eTemplate-XML-Datei (.xet) in das VFS-Verzeichnis /etemplates eine Remote Code Execution auf Betriebssystemebene erreichen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In Visual Studio Code ermöglicht die Offenlegung sensibler Informationen gegenüber einem nicht berechtigten Akteur einem Angreifer, Informationen über das Netzwerk preiszugeben. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

In der C-Implementierung des Megaco-Flex-Scanners von Erlang/OTP besteht ein klassischer Pufferüberlauf. Ein nicht authentifizierter Angreifer kann dadurch aus der Ferne den Speicher des Treibers beschädigen und möglicherweise Code zur Ausführung bringen oder einen Diensteausfall auslösen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

FUXA, eine webbasierte Software zur Prozessvisualisierung (SCADA/HMI/Dashboard), weist in Version 1.3.0 eine nicht authentifizierte Remote-Codeausführung auf, wenn secureEnabled auf true gesetzt ist. Der Angriff erfolgt laut Quelle über einen POST-Aufruf an einen API-Endpunkt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Laut NVD besteht in Microsoft Edge (Chromium-based) eine fehlende Autorisierungsprüfung, die es einem nicht authentifizierten Angreifer ermöglicht, Code über das Netzwerk auszuführen. CVSS-Basiswert: 6.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Im Windows Network File System besteht eine Race-Condition-Schwachstelle durch unzureichende Synchronisierung bei der gemeinsamen Nutzung von Ressourcen, die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Eine relative Path-Traversal-Schwachstelle in Visual Studio Code erlaubt einem nicht autorisierten Angreifer über das Netzwerk Manipulationen (Tampering). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

Im Component Author Name Handler der Datei /system/htmly.php von danpros HTMLy (bis Version 3.1.1) besteht laut NVD eine Schwachstelle, die durch Manipulation eines nicht näher spezifizierten Parameters ausgenutzt werden kann. Nähere technische Details liegen in der Quellbeschreibung nicht vor, da diese abbricht. CVSS-Basiswert: 5.3 (Mittel). Eine Angabe zur Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In code-projects Task Management System 1.0 wurde laut Quellbeschreibung eine Schwachstelle in einem unbekannten Teil der Datei /user/UpdateTaskStatus.php gefunden. Die Manipulation des Arguments task_id/val führt zu einem Fehlverhalten; weitere Details zur genauen Angriffsart liegen in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Firmware des Autel Maxi Charger Single bis einschliesslich Version V1.03.51 erlaubt eine unauthentifizierte Remote-Code-Execution über den auf TCP-Port 9002 lauschenden Dienst. Eine manipulierte Anfrage an den Endpunkt /test kann das Gerät dazu bringen, Code auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor; Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der Jaspersoft Reports Library besteht eine Java-Deserialisierungsschwachstelle, die zu Remote-Code-Ausführung (RCE) führen kann und damit potenziell die Ausführung von Code auf dem betroffenen System erlaubt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und auf eine bereinigte Version aktualisieren.

Eine Schwachstelle in der Task-Management-Komponente von Sonatype Nexus Repository (Versionen 3.22.1 bis 3.90.2) erlaubt einem authentifizierten Angreifer mit Berechtigung zum Anlegen von Tasks die Ausführung von beliebigem Code. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine nicht betroffene Version von Sonatype Nexus Repository aktualisieren.

Laut NVD besteht in Microsoft Edge (Chromium-based) eine unzureichende Kontrolle bei der Codegenerierung (Code-Injection), die einem nicht authentifizierten Angreifer über das Netzwerk Spoofing ermöglicht. Die Ausnutzung setzt eine Interaktion des Nutzers voraus. CVSS-Basiswert: 6.1 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

Die Quelle beschreibt eine Schwachstelle in React Router in den Versionen 6.4.0 bis 7.17.0: Ist Anwendungscode so geschrieben, dass er von Angreifern kontrollierte Eingaben verarbeitet, können bestimmte Aspekte von abgefangenen Fehlern überschrieben werden. Die genaue Auswirkung ist im vorliegenden Quelltext abgeschnitten und daher nicht weiter belegt. CVSS-Basiswert: 6.1 (Mittel). Weitere Details liegen in den Quelldaten nicht vor.

Im Resilient File System (ReFS) von Windows besteht ein heap-basierter Pufferüberlauf. Ein nicht autorisierter Angreifer kann dadurch bei physischem Zugriff auf das Gerät Code ausführen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In safishamsi Open-Source GRAPHIFY von Version 0.3.2 bis 0.4.29 kann ein entfernter Angreifer laut NVD über die Funktionen validate_url, safe_fetch, _build_opener, _fetch_html und _download_binary beliebigen Code ausführen. CVSS-Basiswert: 6.9 (Mittel).

Für Caddy von Light Code Labs liegt laut der Security-Advisory-Übersicht auf GitHub ein Sicherheitshinweis zu dieser CVE vor; weitere technische Details nennt die Quelle nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Tilt definiert Entwicklungsumgebungen als Code für Microservice-Anwendungen auf Kubernetes. In den Versionen 0.20.8 bis 0.37.3 registriert der Tilt-HUD- HTTP-Server Handler auf einem gorilla/mux-Router ohne authentifizierende Middleware. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffen sind Caddy- und Kubernetes-Umgebungen.

In der Komponente ImsService besteht vor dem Sicherheitsupdate SMR Jul-2026 Release 1 eine Out-of-Bounds-Write-Schwachstelle, die es entfernten Angreifern potenziell erlaubt, beliebigen Code auszuführen. Laut Produktzuordnung sind Software von SimpleHelp Ltd und Light Code Labs (Caddy) betroffen. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Flowise ist eine Drag-&-Drop-Oberfläche zum Erstellen individueller Large-Language-Model-Workflows. Vor Version 3.1.3 erlaubte laut NVD der CSVAgent-Node Nutzern, Python-Code bereitzustellen, der über pyodide ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

dbt ermöglicht Datenanalysten und -ingenieuren, Daten mit denselben Praktiken zu transformieren, die Softwareentwickler zum Erstellen von Anwendungen nutzen. Betroffen ist der wiederverwendbare Workflow dbt-labs/actions. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Laut Quellbeschreibung erlaubten browserfähige Cloud-Agent-Sitzungen des KI-Code-Editors Cursor vor dem Fix vom 31.03.2026, dass angreiferkontrollierte Web-Inhalte Verbindungen aus der Sitzung heraus aufbauen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle im Modul gun_http der Bibliothek gun (ninenines) erlaubt es einem bösartigen HTTP-Server, den Client über eine unaufgeforderte 101-Antwort (Switching Protocols) in den Raw-Protokoll-Modus zu zwingen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In langgenius dify bis einschliesslich Version 1.14.2 besteht eine Schwachstelle in der Funktion jinja2.Template der Datei api/core/helper/code_executor/jinja2/jinja2_transformer.py. CVSS-Basiswert: 6.3 (Mittel). Empfohlene Massnahme: Aktualisierung auf eine Version nach 1.14.2.

Windu CMS prüft laut NVD und ENISA-EUVD die Typen hochgeladener Dateien nicht. Ein authentifizierter Angreifer kann dadurch beliebige Dateien einschliesslich PHP-Code hochladen, was zu Remote Code Execution führen kann. Laut Quelldaten blieben Kontaktversuche mit dem Hersteller ohne Erfolg, sodass zum Zeitpunkt der Veröffentlichung kein bestätigter Fix vorlag. CVSS-Basiswert: 5.3 (Mittel).

Die Beispiele und Rezepte von NVIDIA Dynamo für Linux enthalten eine Schwachstelle, durch die ein Angreifer einen Systemausfall verursachen kann. Eine erfolgreiche Ausnutzung kann laut Quelle zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 6.6 (Mittel). Die Zuordnung weist zusätzlich Caddy als betroffenes Produkt aus. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

In code-projects Online Hotel Booking 1.0 besteht eine Schwachstelle in einer Funktion der Datei /booknow.php der Komponente Booking Endpoint. Eine Manipulation kann die betroffene Komponente beeintraechtigen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Windows DNS Server besteht eine relative Path-Traversal-Schwachstelle, die einem bereits authentifizierten Angreifer im angrenzenden Netzwerk die Ausführung von Code ermöglicht. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In code-projects Simple Laundry System 1.0 betrifft eine Schwachstelle nicht näher bezeichneten Code der Datei /delmemberinfo.php. Ursächlich ist laut Quelldaten die Manipulation des Arguments userid. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In code-projects Simple IT Discussion Forum 1.0 besteht in der Datei /edit-category.php eine Schwachstelle, die sich durch Manipulation des Arguments Category aus der Ferne auslösen lässt. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Hey API ist ein Ökosystem, das API-Spezifikationen in produktionsreifen Code überführt. Vor Version 0.97.3 liefert dist/clients/core/params.ts ein Laufzeit-Template aus, das als params.gen.ts in die generierten SDKs kopiert wird. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hoher Angriffskomplexität und ohne Rechte ausnutzbar und beeinträchtigt Vertraulichkeit und Integrität in geringem Umfang. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Hey API 0.97.3.