Caddy Seite 7

Adobe Campaign Classic (ACC) ist von einer Server-Side-Request-Forgery-Schwachstelle (SSRF) betroffen, die im Kontext des aktuellen Benutzers zur Ausführung von beliebigem Code führen kann. CVSS-Basiswert: 10.0 (Kritisch).

In Vvveb vor Version 1.0.8.1 besteht eine Code-Injection-Schwachstelle im Installations-Endpunkt: Der POST-Parameter subdir wird ungeprüft und ohne Escaping in die Konfigurationsdatei env.php geschrieben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Vvveb 1.0.8.1 oder neuer aktualisieren.

In fastjson in den Versionen 1.2.68 bis 1.2.83 besteht eine Schwachstelle zur entfernten Codeausführung (RCE). Sie lässt sich bereits in der ausgelieferten Standardkonfiguration ausnutzen, ohne dass AutoType aktiviert sein muss. Dadurch ist die Angriffsfläche auch ohne besondere Konfiguration gegeben. CVSS-Basiswert: 9.0 (Kritisch). Ein manuell erfasster Community-Beitrag (Reddit r/threatintel, 2026-07-29) verweist auf veröffentlichte PacketSmith-Yara-X-Regeln zur Erkennung von Exploit-Versuchen dieser Lücke sowie auf einen Artikel mit Proof-of-Concept unter dem Titel „FastJson 1.2.83 Remote Code Execution“.

In Foreman kann ein authentifizierter Angreifer mit niedrigen Berechtigungen laut NVD Remote Code Execution erreichen, indem er die Safemode-Sandbox der Template-Engine umgeht. CVSS-Basiswert: 9.9 (Kritisch). Ein EPSS-Wert liegt noch nicht vor. In den Quelldaten ist keine Massnahme genannt.

Im ODBC-Treiber für SQL Server besteht ein Heap-basierter Pufferüberlauf, der einem nicht autorisierten Angreifer die Ausführung von Code über das Netzwerk erlaubt. Der Angriff ist laut Quelldaten ohne Authentifizierung und ohne Benutzerinteraktion möglich. CVSS-Basiswert: 9.8 (Kritisch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Empfohlene Massnahme: bereitgestellte Sicherheitsupdates des Herstellers einspielen, sobald sie verfügbar sind.

In Hiawatha von Hugo Leisink besteht in Version 12.1 und früher eine Schwachstelle, die es einem entfernten Angreifer ermöglicht, über eine präparierte Anfrage beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

OpenCATS 0.9.4 enthält eine Schwachstelle zur entfernten Codeausführung. Nicht authentifizierte Angreifer können beliebige Befehle ausführen, indem sie als Lebenslauf-Anhänge getarnte, bösartige PHP-Dateien hochladen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

In Grav 2.0.4 (behoben in 2.0.7) besteht eine Schwachstelle zur Remote Code Execution in der Methode Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php), die einen Class::method-Callable-String verarbeitet. Dadurch kann Angreifercode auf dem Server ausgeführt werden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf Grav 2.0.7.

Mobatek MobaXterm 12.1 enthält einen auf Structured Exception Handling (SEH) basierenden Pufferüberlauf im Benutzernamen-Feld von Session-Dateien. Angreifer können darüber aus der Ferne beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Für CVE-2026-48323 liegt bei Light Code Labs (Produkt Caddy) eine Schwachstelle mit einem CVSS-Basiswert von 10.0 (Kritisch) vor. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) beschreibt einen Angriff über das Netzwerk, ohne erforderliche Rechte oder Nutzerinteraktion, mit Scope-Änderung und vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine belegte inhaltliche Beschreibung der Schwachstelle liegt für diesen Eintrag nicht vor. Die Lücke ist nicht als aktiv ausgenutzt (CISA KEV) bekannt und nicht mit Ransomware-Kampagnen in Verbindung gebracht.

Im WordPress-Theme Seotheme besteht eine Schwachstelle zur Remote Code Execution: Nicht authentifizierte Angreifer können beliebigen PHP-Code ausführen, indem sie schädliche Dateien in das Theme-Verzeichnis hochladen. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Betroffene WordPress-Installationen sollten gemäss NVD-Eintrag geprüft werden.

In Windows GDI+ besteht ein Heap-basierter Pufferüberlauf, über den ein nicht authentifizierter Angreifer aus dem Netzwerk beliebigen Code ausführen kann. Betroffen ist Microsoft Windows. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: die von Microsoft bereitgestellten Sicherheitsupdates einspielen.

Das Adversarial Robustness Toolbox (ART) enthält bis einschliesslich Version 1.20.1 eine Remote-Code-Execution-Schwachstelle in seiner Kubeflow-Komponente. Die Funktion zur Robustheitsbewertung von PyTorch-Modellen verwendet eine unsichere Auswertung. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

IBM Langflow OSS Version 1.0.0 bis 1.11.5 kann einem entfernten Angreifer die Ausführung beliebigen Codes ermöglichen, da bei der Graph-Konstruktion eine Code-Injection auftritt. CVSS-Basiswert: 9.8 (Kritisch). Der Fund ist laut Zuordnung mehreren Herstellern zugeordnet: Langflow / DataStax, SimpleHelp Ltd und Light Code Labs.

Im Generic-OEM-Router UZ801_v2.1 (4G-LTE, Firmware V3.4.3) erlaubt eine Schwachstelle einem entfernten Angreifer die Ausführung beliebigen Codes über die Komponente sbin/adbd. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: den Netzwerkzugriff auf das Gerät einschränken und ein Hersteller-Update einspielen, sobald verfügbar.

SPIP löst vor Version 4.4.18 in der Aktion editer_objet den Parameter arg zu SQL-Tabellennamen auf, ohne dabei eine Positivliste editierbarer Spalten zu erzwingen. Dadurch können laut NVD nicht vorgesehene Tabellen adressiert werden, was zu Remote-Code-Execution führt. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der No-Code-/Low-Code-Plattform NocoBase gab das Plugin @nocobase/plugin-notification-in-app-message vor Version 2.0.61 einen GET-/api-Endpunkt ungeschützt frei. CVSS-Basiswert: 10 (Kritisch). Der Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) weist einen ohne Authentifizierung über das Netzwerk ausnutzbaren Angriff mit Scope-Wechsel und vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit aus. Empfohlene Massnahme: auf NocoBase 2.0.61 oder neuer aktualisieren.

In Visual Studio Code fehlt an einer Stelle die Autorisierungsprüfung. Ein nicht autorisierter Angreifer kann dadurch über das Netzwerk seine Rechte ausweiten. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: die von Microsoft bereitgestellte aktuelle Version von Visual Studio Code installieren.

In QA Analytics bis einschliesslich Version 5.2.0.0 besteht eine Schwachstelle, die nicht authentifizierten Angreifern die Ausführung beliebigen Codes (Remote Code Execution) ermöglicht. CVSS-Basiswert: 10 (Kritisch).

In ThemisNETPanel besteht eine Schwachstelle zur entfernten Codeausführung, weil eine kritische Datei-Upload-Funktion ohne Authentifizierung erreichbar ist. Die Anwendung stellt laut Quelle einen Endpunkt bereit, den nicht authentifizierte Angreifer nutzen können. CVSS-Basiswert: 9.3 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die Verwaltungsoberfläche nicht aus dem Internet erreichbar machen und Herstellerhinweise gemäss EUVD-Eintrag beachten.

Das WordPress-Plugin Admin and Site Enhancements (ASE) Pro ist in allen Versionen bis einschliesslich 8.9.0 über die Funktion recursive_html für Remote Code Execution anfällig. CVSS-Basiswert: 9.8 (Kritisch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Plugin auf eine Version nach 8.9.0 aktualisieren, sobald ein Fix verfügbar ist.

SolarWinds Serv-U ist laut NVD von einer fehlerhaften Zugriffskontrolle (broken access control) betroffen, die beliebiges Lesen und Schreiben von Dateien erlaubt und darüber zur Rechteausweitung und Codeausführung als root führen kann. Der CVSS-Vektor (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) weist auf eine aus dem Netzwerk ausnutzbare Lücke hin, deren Auswirkung über die verwundbare Komponente hinausreicht. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: SolarWinds Serv-U gemäss Hersteller-Advisory aktualisieren.

SolarWinds Serv-U ist von einer Schwachstelle zur Privilegienerweiterung betroffen: Der Zugriff einer Gruppe lässt sich auf Systemadministrator anheben, was die Codeausführung als root ermöglicht. In Windows-Installationen fällt die Auswirkung geringer aus. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: das Sicherheits-Advisory von SolarWinds beachten und verfügbare Updates einspielen.

ToolUniverse führte von Aufrufern übergebenen Python-Code in einer Sandbox aus, die sich umgehen liess, auf einem Server ohne Authentifizierungspflicht. Betroffen ist der Executor hinter dem Tool python_code_executor im Modul python_executor_tool. CVSS-Basiswert: 10.0 (Kritisch).

In der Survey-Passthrough-Routing- und Data-Import-Verarbeitungslogik wurde eine nicht authentifizierte Schwachstelle zur Remote-Codeausführung festgestellt, die ein Angreifer durch gezielte Manipulation potenziell ausnutzen kann. CVSS-Basiswert: 9.8 (Kritisch).

In bitbank2 AnimatedGIF v2.2.0 wurde ein Pufferüberlauf in der Funktion DecodeLZW gefunden. Entfernte Angreifer können darüber einen Denial of Service (Absturz) auslösen oder potenziell beliebigen Code ausführen. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Weitere Details sind dem NVD-Eintrag zu entnehmen.

Das WordPress-Plugin Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code ist bis einschliesslich Version 4.8.6 durch eine Authentifizierungsumgehung verwundbar. Die Schwachstelle ist über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In IBM AIX 7.2 und 7.3 sowie in IBM PowerVM VIOS 4.1 kann ein Buffer-Overflow einem entfernten Angreifer die Ausführung von beliebigem Code ermöglichen. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk mit geringem Angriffsaufwand, ohne Nutzerinteraktion und ohne vorherige Rechte ausnutzbar.

In IBM AIX 7.2 und 7.3 sowie in IBM PowerVM VIOS 4.1 kann ein Stack-Buffer-Overflow einem entfernten Angreifer die Ausführung von beliebigem Code ermöglichen. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk mit geringem Angriffsaufwand, ohne Nutzerinteraktion und ohne vorherige Rechte ausnutzbar.

IBM AIX 7.2 und 7.3 sowie IBM PowerVM VIOS 4.1 sind laut Quelle von einem Pufferüberlauf betroffen, der einem entfernten Angreifer die Ausführung beliebigen Codes ermöglicht. CVSS-Basiswert: 9.8 (Kritisch).

Ein Heap-basierter Pufferüberlauf im Remote Desktop Client erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Ein CVSS-Vektor mit netzbasiertem Angriffsweg ohne erforderliche Rechte liegt vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

Unzureichend validierte Eingaben in Asset-Filter-Parametern erlauben, dass Shell-Metazeichen aus der Verarbeitung von Kommandoargumenten ausbrechen. Dadurch ist über den Analysis-REST-Endpoint eine entfernte Codeausführung als OS-Benutzer mit niedrigen Rechten möglich. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Betroffen ist die Fernwartungssoftware von SimpleHelp Ltd; betroffene Server sind gemäss Hersteller-Advisory zu aktualisieren.

Adobe Connect ist von einer SQL-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen in SQL-Befehlen) betroffen, die zur Ausführung von beliebigem Code führen kann. CVSS-Basiswert: 9.9 (Kritisch). Die Quellenbeschreibung ist an dieser Stelle abgeschnitten; weitere Angaben oder eine Massnahmenempfehlung liegen nicht vor.

In Apache Syncope besteht eine Schwachstelle durch unzureichende Isolation bzw. Kompartmentierung. Ein Administrator mit ausreichenden Berechtigungen kann über das Connector-Subsystem Remote Code Execution erreichen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung gemäss Apache-Advisory.

Das WordPress-Plugin „The Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code“ ist in allen Versionen bis einschliesslich 4.8.6 durch eine Rechteausweitung (Privilege Escalation) verwundbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im WordPress-Plugin Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light besteht in allen Versionen bis einschliesslich 2.4.37 eine Schwachstelle durch fehlende Autorisierungsprüfung in der Funktion user_filter. Ein nicht authentifizierter Angreifer kann dadurch auf eigentlich geschützte Funktionen der Anwendung zugreifen. CVSS-Basiswert: 9.8 (Kritisch).

Das WordPress-Theme Alone von Beplusthemes weist eine unzureichende Kontrolle bei der Codegenerierung (Code Injection) auf, die Angreifern Code Injection ermöglicht. Betroffen sind Versionen bis einschliesslich 7.8.3. CVSS-Basiswert: 10.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In der Silicon-One-Integration für Cisco-Nexus-9000-Switches besteht eine Schwachstelle, die es einem nicht authentifizierten, entfernten Angreifer erlauben könnte, Code mit Root-Rechten auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

Im Linux-Kernel wurde eine Use-after-free-Schwachstelle in der pNFS-Funktion pnfs_update_layout() behoben. Beim Erreichen des NFS_LAYOUT_RETURN-Zweigs kann es zu einem Zugriff auf bereits freigegebenen Speicher kommen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

Adobe Campaign Classic (ACC) ist laut Quelle von einer Schwachstelle durch unzureichende Kontrolle der Code-Generierung (Code Injection) betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Der Angriff ist laut CVSS-Vektor über das Netzwerk mit geringer Komplexität und niedrigen Rechten möglich, ohne Nutzerinteraktion. CVSS-Basiswert: 9.9 (Kritisch).

Amazon @aws-amplify/codegen-ui-react vor Version 2.20.6 weist eine unsachgemässe Kontrolle der Codegenerierung auf. Ein entfernter authentifizierter Benutzer kann dadurch beliebigen Code in Browsern von Endnutzern, auf Entwickler-Rechnern oder in CI-Umgebungen ausführen. CVSS-Basiswert: 9.0 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf @aws-amplify/codegen-ui-react Version 2.20.6 oder neuer einspielen.

In sentence-transformers besteht eine Schwachstelle, die eine Sicherheitskontrolle umgeht. Ursache ist ein Logikfehler in der Hilfsfunktion import_module_class. Ein Angreifer kann dies ausnutzen, um beliebigen Code zur Ausführung zu bringen. CVSS-Basiswert: 9.8 (Kritisch).

DiskCache (python-diskcache) verwendet laut NVD bis einschliesslich Version 5.6.3 standardmässig Python-pickle zur Serialisierung. Ein Angreifer mit Schreibzugriff auf das Cache-Verzeichnis kann dadurch beliebigen Code ausführen, sobald eine Opfer-Anwendung auf den Cache zugreift. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In IBM Aspera Faspex 5 in den Versionen 5.0.0 bis 5.0.15.4 kann ein entfernter, authentifizierter Angreifer aufgrund unquotierter Shell-Interpolation beliebigen Code ausführen. CVSS-Basiswert: 9.1 (Kritisch).

In ClickHouse Server bis einschliesslich Version 26.3.9.8 erlaubt eine SQL-Injection-Schwachstelle in der Funktion zum Erstellen von Dictionaries einem entfernten Angreifer die Ausführung von beliebigem Code. CVSS-Basiswert: 9.1 (Kritisch).

In xiandafu beetl 3.20.2 kann ein entfernter Angreifer über die Funktion type.new und den Property-Reflection-Mechanismus beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In SJCAM-Produkten auf Basis von AllWinner Tech (SJ4000-Air V1.4C und früher sowie Whitelabel-Varianten v1.4C und früher) kann ein Angreifer über eine manipulierte FEX-Datei beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

IBM AIX in den Versionen 7.2 und 7.3 sowie IBM PowerVM VIOS 4.1 erlauben einem entfernten Angreifer aufgrund unzureichenden Privilege Managements die Ausführung von beliebigem Code. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Bewertung liegt für diese CVE nicht vor.

Forgejo vor Version 16.0.4 erlaubt Remote Code Execution über ein präpariertes Template-Repository, weil die Template-Expansion von Dateien im Verzeichnis .forgejo/template fehlerhaft verarbeitet wird. CVSS-Basiswert: 9.9 (Kritisch). Der Fund ist laut Zuordnung mehreren Herstellern zugeordnet: Gitea Ltd, SimpleHelp Ltd, Light Code Labs und Sonatype.

In IBM webMethods Integration (on premise) in den Versionen 10.15 und 10.11 kann ein nicht authentifizierter Angreifer aus der Ferne beliebigen Code auf dem System ausführen. Ursache ist die Deserialisierung nicht vertrauenswürdiger Daten. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.