Infor/Epicor/IFS/Unit4/Wilken

In Epicor HCM 2021 1.9 besteht eine SQL-Injection-Schwachstelle im filter-Parameter des Endpunkts JsonFetcher.svc. Ein Angreifer kann durch Einschleusen bösartiger SQL-Payloads beliebige SQL-Befehle auf der Backend-Datenbank ausführen; bei aktivierten Funktionen wie xp_cmdshell kann dies bis zur Remote Code Execution führen. Patches liegen vor (5.16.0.1033/HCM2022, 5.17.0.1146/HCM2023, 5.18.0.573/HCM2024). CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine gepatchte Version aktualisieren.

In Open5GS 2.8.0 besteht eine Schwachstelle in der Funktion hss_ogs_diam_s6a_air_cb der Datei src/hss/hss-s6a-path.c, Komponente S6a Authentication-Information. CVSS-Basiswert: 7.4 (Hoch).

NVIDIA Dynamo für Linux enthält laut NVD im Multimodal Media Fetcher eine Schwachstelle, über die ein Angreifer eine Server-Side Request Forgery auslösen kann. Ein erfolgreicher Exploit kann laut Quellbeschreibung weitreichende Folgen haben; der Text der Quelle bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Einstufung liegt in den Quelldaten nicht vor. Als weitere Produktbezüge gemäss Zuordnung sind Plex Media Server sowie Infor/Epicor/IFS/Unit4/Wilken genannt.

In der Funktion „Employee Compensation View“ von Infor Global HR Version 11.24.10.01.33 besteht eine Insecure Direct Object Reference (IDOR). Dadurch können nicht autorisierte Angreifer beliebige Vergütungsinformationen von Mitarbeitenden einsehen. CVSS-Basiswert: 7.5 (Hoch). Eine Angabe zur Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Infor SyteLine ERP verwendet hartcodierte statische kryptografische Schlüssel zur Verschlüsselung gespeicherter Anmeldedaten, einschliesslich Benutzerpasswörter, Datenbankverbindungszeichenfolgen und API-Schlüssel. Die Schlüssel sind installationsübergreifend identisch, was die Vertraulichkeit der gespeicherten Daten erheblich beeinträchtigt. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Unit4 Financials by Coda in Versionen vor 2023Q4 enthält eine Schwachstelle durch fehlerhafte Zugriffskontrolle und Autorisierungsumgehung, die es einem authentifizierten Nutzer erlaubt, über eine praeparierte Anfrage das Passwort eines beliebigen Nutzers der Anwendung zu ändern. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Unit4 Financials by Coda 2023Q4 oder neuer.

GitLab hat ein Problem in GitLab EE behoben, das in allen Versionen ab 19.1 vor 19.1.3 und 19.2 vor 19.2.1 unter bestimmten Bedingungen einer authentifizierten Person den Zugriff auf Informationen ermöglicht haben könnte, auf die sie eigentlich keinen Zugriff haben sollte; weitere Details liegen in den Quelldaten nicht vor. CVSS-Basiswert: 4.3 (Mittel); der Angriff erfolgt über das Netzwerk mit geringer Komplexität und niedrigen Rechten, ohne Nutzerinteraktion. Betroffen ist im Feed zudem der überwachte Produktbereich Infor/Epicor/IFS/Unit4/Wilken. Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.