CISA ICS-CERT (Aggregator)

Die mcp-router-CLI stellt ihren MCP-Aggregator standardmässig auf allen Netzwerkschnittstellen bereit und erzwingt eine Authentifizierung nur, wenn der Betreiber sie explizit anfordert. Der serve-Befehl in apps/cli/src/commands/serve.ts setzt den Host entsprechend weit. CVSS-Basiswert: 9.1 (Kritisch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Die Industrial Control Systems Network Protocol Parsers (ICSNPP) – Ethercat Zeek Plugin in den Versionen d78dda6 und früher sind in ihrer primären Analysefunktion für Ethercat-Kommunikationspakete für einen Out-of-Bounds-Write anfällig. Dies könnte einem Angreifer die Ausführung beliebigen Codes ermöglichen. CVSS-Basiswert: 9.8 (Kritisch).

Das ICSNPP-Ethercat-Zeek-Plugin (Industrial Control Systems Network Protocol Parsers) ist in den Versionen d78dda6 und früher beim Analysieren bestimmter Ethercat-Datagramme für einen Out-of-Bounds-Write anfällig. Ein Angreifer könnte dies zur Ausführung beliebigen Codes ausnutzen. CVSS-Basiswert: 9.8 (Kritisch).

KEPServerEX ist anfällig für einen Buffer Overflow, über den ein Angreifer das angesprochene Produkt zum Absturz bringen oder Informationen offenlegen kann. CVSS-Basiswert: 9.1 (Kritisch).

In ICS Business Manager (Version 7.06.0028.7089) besteht eine SQL-Injection-Schwachstelle. Ein entfernter Benutzer könnte über eine speziell präparierte SQL-Abfrage sämtliche in der Datenbank gespeicherten Informationen auslesen. Die Daten könnten zudem verändert oder gelöscht werden, was zu Fehlfunktionen der Anwendung führt. CVSS-Basiswert: 9.4 (Kritisch).

Im GPIO-Aggregator des Linux-Kernels wird im Fehlerfall aggr->lookups->dev_id freigegeben, bevor der Eintrag aus der Lookup-Tabelle entfernt wird, was zu einem potenziellen Use-after-free führen kann. Die Schwachstelle wurde im Linux-Kernel bereits behoben; Ubuntu stellt entsprechende Kernel-Updates bereit (USN-8593-1, USN-8603-1). CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die bereitgestellte Kernel-Aktualisierung einspielen.

Im WordPress-Plugin WP Event Aggregator (Xylus Themes) besteht eine unzureichende Neutralisierung von Eingaben bei der Webseitengenerierung, die reflektiertes Cross-Site-Scripting ermöglicht. Betroffen sind alle Versionen bis einschliesslich 1.8.2. CVSS-Basiswert: 7.1 (Hoch).

Die ICSNPP-Ethercat-Zeek-Plugin-Versionen d78dda6 und älter sind bei der Analyse eines bestimmten Ethercat-Pakets anfällig für einen Lesezugriff ausserhalb der Grenzen. Ein Angreifer könnte dadurch den Zeek-Prozess zum Absturz bringen und Informationen aus dem Speicher offenlegen. CVSS-Basiswert: 8.2 (Hoch).

Das WordPress-Plugin RSS Aggregator by Feedzy ist in allen Versionen bis einschliesslich 4.4.2 über den Parameter search_key für SQL-Injection anfällig, verursacht durch unzureichende Maskierung des benutzergelieferten Parameters und fehlende Vorbereitung der bestehenden SQL-Abfrage. Authentifizierte Angreifer mit mindestens Contributor-Rechten können darüber zusätzliche SQL-Abfragen anhängen und sensible Datenbankinformationen auslesen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb von 4.4.2.

KEPServerEX validiert laut Quelle Zertifikate von Clients nicht ordnungsgemäss, wodurch sich nicht authentifizierte Nutzer verbinden können. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In ECOVACS-Geräten (Rasenmäher und Saugroboter) wurden mehrere Sicherheitslücken gemeldet. 12 Produkte sind betroffen, 12 mit Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %.

In Ivanti Connect Secure und Ivanti Policy Secure wurden mehrere Sicherheitslücken gemeldet. 3 Produkt(e) betroffen, 3 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.9 %.

In Ivanti Connect Secure und Ivanti Policy Secure wurden mehrere Sicherheitslücken gemeldet. 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

In Ivanti Connect Secure und Ivanti Policy Secure wurden mehrere Sicherheitslücken gemeldet. 3 Produkt(e) betroffen, 3 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

In Ivanti Connect Secure und Ivanti Policy Secure wurden mehrere Sicherheitslücken gemeldet. 3 Produkt(e) betroffen, 3 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

In Ivanti Connect Secure und Ivanti Policy Secure wurden mehrere Sicherheitslücken gemeldet. 3 Produkt(e) betroffen, 3 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

In ClamAV wurde eine Sicherheitslücke gemeldet. 2 Produkte sind betroffen, 2 mit Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %.

In Ivanti Connect Secure und Ivanti Policy Secure wurde eine Schwachstelle zur Kontrolle externer Dateien entdeckt. 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %.

In Versa Networks Versa Director wurden mehrere Sicherheitslücken gemeldet (CVE-2025-23172). Laut CSAF-Advisory sind 6 Produkte betroffen, für 4 davon steht ein Fix bereit. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Die Joomla!-Erweiterung "Easy Folder Listing Pro" von Valor Apps weist eine Deserialisierungsschwachstelle auf (CVE-2024-11145). 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

In Versa Networks Versa Director wurden mehrere Sicherheitslücken identifiziert. 6 Produkte sind betroffen, 1 mit Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Im Fedora Repository wurden Standard-Zugangsdaten sowie eine unsichere Archiv-Extraktion über den Nutzer fedoraIntCallUser festgestellt (CVE-2025-23011). 1 Produkt ist laut CSAF-Advisory betroffen, bisher kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

In Adminer und AdminerEvo wurden mehrere Sicherheitslücken gemeldet (CVE-2023-45197). 2 Produkt(e) betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

In OPEXUS FOIAXpress Public Access Link (PAL) wurde eine SQL-Injection-Schwachstelle identifiziert. 1 Produkt ist betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

In Versa Networks Versa Director wurden mehrere Sicherheitslücken gemeldet (CVE-2025-23170). Laut CSAF-Advisory sind 6 Produkte betroffen, für 4 davon steht ein Fix bereit. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Adminer und AdminerEvo wurden mehrere Sicherheitslücken gemeldet (CVE-2023-45196). 3 Produkt(e) betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Versa Networks Versa Director wurde eine unsichere Standard-Konfiguration der PostgreSQL-Datenbank gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In SicommNet wurden mehrere Sicherheitslücken gemeldet. 1 Produkt ist betroffen, 1 mit Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In CentralSquare eTRAKiT.Net wurde eine SQL-Injection-Schwachstelle gemeldet. 1 Produkt betroffen, kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In IBM webMethods Integration wurden mehrere Sicherheitslücken gemeldet. 1 Produkt ist betroffen, 1 mit Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In OPEXUS FOIAXpress Public Access Link (PAL) wurden mehrere Sicherheitslücken gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Versa Networks Versa Director wurden mehrere Sicherheitslücken gemeldet (CVE-2025-23173). Laut CSAF-Advisory sind 6 Produkte betroffen, für 4 davon steht ein Fix bereit. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Versa Networks Versa Director wurden mehrere Sicherheitslücken gemeldet (CVE-2025-23171). Laut CSAF-Advisory sind 6 Produkte betroffen, für 4 davon steht ein Fix bereit. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In OPEXUS FOIAXpress Public Access Link (PAL) wurden mehrere Sicherheitslücken gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In IBM webMethods Integration wurden mehrere Sicherheitslücken gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In ECOVACS-Geräten (Rasenmäher und Saugroboter) wurden mehrere Sicherheitslücken gemeldet. 2 Produkte sind betroffen, 2 mit Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Produkt SicommNet wurden mehrere Sicherheitslücken gemeldet (CVE-2025-22373). 1 Produkt ist laut CSAF-Advisory betroffen, bisher kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In IBM webMethods Integration wurden mehrere Sicherheitslücken gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Agiloft wurden mehrere Sicherheitslücken gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Versa Networks Versa Director wurden mehrere Sicherheitslücken gemeldet (CVE-2025-24288). Laut CSAF-Advisory sind 6 Produkte betroffen, für 4 davon steht ein Fix bereit. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Fedora Repository wurden Standard-Zugangsdaten sowie eine unsichere Archiv-Extraktion über den Nutzer fedoraIntCallUser festgestellt (CVE-2025-23012). 1 Produkt ist laut CSAF-Advisory betroffen, bisher kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In MSP360 Backup wurden unsichere Dateisystem-Berechtigungen gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In MSP360 Backup wurden unsichere Dateisystem-Berechtigungen gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Adminer und AdminerEvo wurden mehrere Sicherheitslücken gemeldet (CVE-2023-45195). 3 Produkt(e) betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Die mobilen Apps von Planet Fitness Workouts validieren TLS-Zertifikate nicht korrekt, was Man-in-the-Middle-Angriffe ermöglichen kann. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In ECOVACS-Rasenmähern und Saugrobotern wurden Sicherheitslücken gemeldet (CVE-2024-11147). 1 Produkt betroffen, kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In ZKTeco BioTime wurden mehrere Sicherheitslücken gemeldet. 1 Produkt ist betroffen, ein Fix liegt noch nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In ECOVACS-Geräten (Rasenmäher und Saugroboter) wurden mehrere Sicherheitslücken gemeldet. 1 Produkt ist betroffen, 1 mit Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.