Caddy Seite 25

In Kaltura-Versionen vor 11.1.0-2 besteht eine Schwachstelle zur Remote-Codeausführung durch unsichere Deserialisierung nutzerkontrollierter Daten im Modul keditorservices. Laut Quelldaten kann ein nicht authentifizierter Angreifer aus der Ferne agieren. CVSS-Angaben liegen hierzu nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %. Betroffen sind SimpleHelp- und Caddy-Umgebungen.

Kiota ist ein OpenAPI-basierter HTTP-Client-Code-Generator. Vor Version 1.32.5 gab Kiota die Werte x-ms-kiota-info clientClassName und clientNamespaceName ohne Identifier- oder Pfad-Sanitisierung aus; weitere Details zur Auswirkung liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft sowie Light Code Labs) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Kiota ist ein OpenAPI-basierter Codegenerator für HTTP-Clients. Vor Version 1.32.4 bettet der PHP-Generator von Kiota OpenAPI-Beschreibungen, Default-Felder, Property-Namen und weitere aus dem Schema abgeleitete Zeichenketten in PHP-Code ein; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Die Schwachstelle ist ab Version 1.32.4 behoben.

Kiota ist ein OpenAPI-basierter HTTP-Client-Codegenerator. Vor Version 1.32.3 ist Kiota von einer Code-Generation-Injection-Schwachstelle im C#-XML-Dokumentationskommentar-Sink betroffen, unter anderem über das description-Feld; weitere Angaben liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Laut NVD besteht in Microsoft Edge (Chromium-based) ein Buffer-Over-Read, der es einem authentifizierten Angreifer ermöglicht, Code über das Netzwerk auszuführen. CVSS-Basiswert: 6.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

In EGroupware wurde eine Schwachstelle identifiziert, die zu Remote Code Execution (RCE) führen kann. Laut Quellbeschreibung erlaubt sie einem authentifizierten Angreifer, beliebige Befehle auf dem Server auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Betreiber sollten verfügbare Aktualisierungen der betroffenen Software einspielen.

In phenixdigital phoenix_storybook besteht eine Code-Injection-Schwachstelle, die unauthentifizierte Remote-Code-Ausführung ermöglicht. Ursache ist die ungefilterte Interpolation von Attributwerten bei der Generierung von HEEx-Templates. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In Easy Chat Server 3.1 erlaubt eine Directory-Traversal-Schwachstelle einem entfernten Angreifer über den UserName-Parameter den Zugriff auf sensible Informationen sowie die Ausführung beliebigen Codes. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In der webbasierten Prozessvisualisierungs-Software FUXA (SCADA/HMI/Dashboard) erlauben die Versionen 1.2.11 bis 1.3.1 einem nicht authentifizierten Angreifer aus der Ferne die vollständige Remotecodeausführung (RCE) mit root-Rechten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: bereitgestellte Hersteller-Updates einspielen.

In eGroupware Version 26.0 und früher kann ein authentifizierter Administrator durch das Hochladen einer manipulierten eTemplate-XML-Datei (.xet) in das VFS-Verzeichnis /etemplates eine Remote Code Execution auf Betriebssystemebene erreichen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In der C-Implementierung des Megaco-Flex-Scanners von Erlang/OTP besteht ein klassischer Pufferüberlauf. Ein nicht authentifizierter Angreifer kann dadurch aus der Ferne den Speicher des Treibers beschädigen und möglicherweise Code zur Ausführung bringen oder einen Diensteausfall auslösen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

In Visual Studio Code ermöglicht die Offenlegung sensibler Informationen gegenüber einem nicht berechtigten Akteur einem Angreifer, Informationen über das Netzwerk preiszugeben. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

FUXA, eine webbasierte Software zur Prozessvisualisierung (SCADA/HMI/Dashboard), weist in Version 1.3.0 eine nicht authentifizierte Remote-Codeausführung auf, wenn secureEnabled auf true gesetzt ist. Der Angriff erfolgt laut Quelle über einen POST-Aufruf an einen API-Endpunkt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Laut NVD besteht in Microsoft Edge (Chromium-based) eine fehlende Autorisierungsprüfung, die es einem nicht authentifizierten Angreifer ermöglicht, Code über das Netzwerk auszuführen. CVSS-Basiswert: 6.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Im Windows Network File System besteht eine Race-Condition-Schwachstelle durch unzureichende Synchronisierung bei der gemeinsamen Nutzung von Ressourcen, die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Eine relative Path-Traversal-Schwachstelle in Visual Studio Code erlaubt einem nicht autorisierten Angreifer über das Netzwerk Manipulationen (Tampering). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

Vor Version 3.1.3 interpoliert der CSVAgent von Flowise einen von Angreifern kontrollierbaren Teil der csvFile-Data-URI direkt in eine Python-Quellcode-Vorlage, die anschliessend über Pyodide ausgeführt wird. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Im Component Author Name Handler der Datei /system/htmly.php von danpros HTMLy (bis Version 3.1.1) besteht laut NVD eine Schwachstelle, die durch Manipulation eines nicht näher spezifizierten Parameters ausgenutzt werden kann. Nähere technische Details liegen in der Quellbeschreibung nicht vor, da diese abbricht. CVSS-Basiswert: 5.3 (Mittel). Eine Angabe zur Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Linux-Kernel gibt die Funktion smb2_aead_req_alloc() der SMB-Client-Komponente einen fehlerhaften Fehlercode zurück: Die Variable num_sgs ist als u32 deklariert, wodurch der Aufruf ERR_PTR(*num_sgs) nicht wie vorgesehen funktioniert. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

In code-projects Task Management System 1.0 wurde laut Quellbeschreibung eine Schwachstelle in einem unbekannten Teil der Datei /user/UpdateTaskStatus.php gefunden. Die Manipulation des Arguments task_id/val führt zu einem Fehlverhalten; weitere Details zur genauen Angriffsart liegen in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Firmware des Autel Maxi Charger Single bis einschliesslich Version V1.03.51 erlaubt eine unauthentifizierte Remote-Code-Execution über den auf TCP-Port 9002 lauschenden Dienst. Eine manipulierte Anfrage an den Endpunkt /test kann das Gerät dazu bringen, Code auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor; Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Für Caddy von Light Code Labs liegt laut der Security-Advisory-Übersicht auf GitHub ein Sicherheitshinweis zu dieser CVE vor; weitere technische Details nennt die Quelle nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In der Jaspersoft Reports Library besteht eine Java-Deserialisierungsschwachstelle, die zu Remote-Code-Ausführung (RCE) führen kann und damit potenziell die Ausführung von Code auf dem betroffenen System erlaubt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und auf eine bereinigte Version aktualisieren.

Eine Schwachstelle in der Task-Management-Komponente von Sonatype Nexus Repository (Versionen 3.22.1 bis 3.90.2) erlaubt einem authentifizierten Angreifer mit Berechtigung zum Anlegen von Tasks die Ausführung von beliebigem Code. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine nicht betroffene Version von Sonatype Nexus Repository aktualisieren.

Laut NVD besteht eine Schwachstelle, die entfernte, nicht authentifizierte Codeausführung auf dem Agent-Host erlaubt. Weitere Angaben zu betroffener Software, Angriffsvoraussetzungen oder Massnahmen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert sowie eine EPSS-Bewertung sind nicht angegeben.

Ein Fehler in der Entropie-Initialisierung für den SiWx917 führt dazu, dass der deterministische Zufallszahlengenerator (DRBG) einen vorhersagbaren Startwert verwendet. In der Folge beruhen alle im Matter-Code erzeugten Zufallszahlen auf demselben Zahlenstrom, was die Vorhersage sicherheitsrelevanter Werte ermöglicht. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Laut NVD besteht in Microsoft Edge (Chromium-based) eine unzureichende Kontrolle bei der Codegenerierung (Code-Injection), die einem nicht authentifizierten Angreifer über das Netzwerk Spoofing ermöglicht. Die Ausnutzung setzt eine Interaktion des Nutzers voraus. CVSS-Basiswert: 6.1 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

Die Quelle beschreibt eine Schwachstelle in React Router in den Versionen 6.4.0 bis 7.17.0: Ist Anwendungscode so geschrieben, dass er von Angreifern kontrollierte Eingaben verarbeitet, können bestimmte Aspekte von abgefangenen Fehlern überschrieben werden. Die genaue Auswirkung ist im vorliegenden Quelltext abgeschnitten und daher nicht weiter belegt. CVSS-Basiswert: 6.1 (Mittel). Weitere Details liegen in den Quelldaten nicht vor.

Im Resilient File System (ReFS) von Windows besteht ein heap-basierter Pufferüberlauf. Ein nicht autorisierter Angreifer kann dadurch bei physischem Zugriff auf das Gerät Code ausführen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In safishamsi Open-Source GRAPHIFY von Version 0.3.2 bis 0.4.29 kann ein entfernter Angreifer laut NVD über die Funktionen validate_url, safe_fetch, _build_opener, _fetch_html und _download_binary beliebigen Code ausführen. CVSS-Basiswert: 6.9 (Mittel).

Tilt definiert Entwicklungsumgebungen als Code für Microservice-Anwendungen auf Kubernetes. In den Versionen 0.20.8 bis 0.37.3 registriert der Tilt-HUD- HTTP-Server Handler auf einem gorilla/mux-Router ohne authentifizierende Middleware. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffen sind Caddy- und Kubernetes-Umgebungen.

In der Komponente ImsService besteht vor dem Sicherheitsupdate SMR Jul-2026 Release 1 eine Out-of-Bounds-Write-Schwachstelle, die es entfernten Angreifern potenziell erlaubt, beliebigen Code auszuführen. Laut Produktzuordnung sind Software von SimpleHelp Ltd und Light Code Labs (Caddy) betroffen. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Flowise ist eine Drag-&-Drop-Oberfläche zum Erstellen individueller Large-Language-Model-Workflows. Vor Version 3.1.3 erlaubte laut NVD der CSVAgent-Node Nutzern, Python-Code bereitzustellen, der über pyodide ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

dbt ermöglicht Datenanalysten und -ingenieuren, Daten mit denselben Praktiken zu transformieren, die Softwareentwickler zum Erstellen von Anwendungen nutzen. Betroffen ist der wiederverwendbare Workflow dbt-labs/actions. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Laut Quellbeschreibung erlaubten browserfähige Cloud-Agent-Sitzungen des KI-Code-Editors Cursor vor dem Fix vom 31.03.2026, dass angreiferkontrollierte Web-Inhalte Verbindungen aus der Sitzung heraus aufbauen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle im Modul gun_http der Bibliothek gun (ninenines) erlaubt es einem bösartigen HTTP-Server, den Client über eine unaufgeforderte 101-Antwort (Switching Protocols) in den Raw-Protokoll-Modus zu zwingen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In langgenius dify bis einschliesslich Version 1.14.2 besteht eine Schwachstelle in der Funktion jinja2.Template der Datei api/core/helper/code_executor/jinja2/jinja2_transformer.py. CVSS-Basiswert: 6.3 (Mittel). Empfohlene Massnahme: Aktualisierung auf eine Version nach 1.14.2.

Windu CMS prüft laut NVD und ENISA-EUVD die Typen hochgeladener Dateien nicht. Ein authentifizierter Angreifer kann dadurch beliebige Dateien einschliesslich PHP-Code hochladen, was zu Remote Code Execution führen kann. Laut Quelldaten blieben Kontaktversuche mit dem Hersteller ohne Erfolg, sodass zum Zeitpunkt der Veröffentlichung kein bestätigter Fix vorlag. CVSS-Basiswert: 5.3 (Mittel).

Die Beispiele und Rezepte von NVIDIA Dynamo für Linux enthalten eine Schwachstelle, durch die ein Angreifer einen Systemausfall verursachen kann. Eine erfolgreiche Ausnutzung kann laut Quelle zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 6.6 (Mittel). Die Zuordnung weist zusätzlich Caddy als betroffenes Produkt aus. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

In code-projects Online Hotel Booking 1.0 besteht eine Schwachstelle in einer Funktion der Datei /booknow.php der Komponente Booking Endpoint. Eine Manipulation kann die betroffene Komponente beeintraechtigen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Windows DNS Server besteht eine relative Path-Traversal-Schwachstelle, die einem bereits authentifizierten Angreifer im angrenzenden Netzwerk die Ausführung von Code ermöglicht. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In code-projects Simple Laundry System 1.0 betrifft eine Schwachstelle nicht näher bezeichneten Code der Datei /delmemberinfo.php. Ursächlich ist laut Quelldaten die Manipulation des Arguments userid. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In code-projects Simple IT Discussion Forum 1.0 besteht in der Datei /edit-category.php eine Schwachstelle, die sich durch Manipulation des Arguments Category aus der Ferne auslösen lässt. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Laut NVD besteht eine Schwachstelle, die es einem hochprivilegierten Nutzer erlaubt, beliebigen Code auf dem Server auszuführen. Weitere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Hey API ist ein Ökosystem, das API-Spezifikationen in produktionsreifen Code überführt. Vor Version 0.97.3 liefert dist/clients/core/params.ts ein Laufzeit-Template aus, das als params.gen.ts in die generierten SDKs kopiert wird. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hoher Angriffskomplexität und ohne Rechte ausnutzbar und beeinträchtigt Vertraulichkeit und Integrität in geringem Umfang. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Hey API 0.97.3.

Über den Parameter two_steps_auth_code, der von der Funktion twoStepsAuthVerification am Endpunkt /user-login verarbeitet wird, ist eine SQL-Injection möglich. Dadurch lässt sich die Zwei-Faktor-Authentifizierung (2FA) angreifen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald verfügbar.

In code-projects Task Management System 1.0 wurde eine Schwachstelle gefunden. Betroffen ist laut NVD die Verarbeitung der Datei /user/CommentSave.php; involviert ist unter anderem die Manipulation der Argumente comment und task_id. CVSS-Basiswert: 4.3 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Ein Use-after-free in der Cast-Komponente von Google Chrome vor Version 150.0.7871.128 erlaubt einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Chromium stuft die Schwere der Lücke als hoch ein. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung auf Version 150.0.7871.128 oder neuer.

Autel MaxiCharger AC Elite Home weist eine Heap-basierte Pufferüberlauf-Schwachstelle in der USB-Verarbeitung auf, die physisch anwesenden Angreifern die Ausführung von beliebigem Code auf betroffenen Installationen ermöglicht. CVSS-Basiswert: 6.8 (Mittel). Eine EPSS-Angabe liegt in den Quelldaten nicht vor.