JetBrains TeamCity Seite 2

In JetBrains PhpStorm vor Version 2026.2 war eine Ausführung beliebigen Codes möglich, bevor dem Projekt Vertrauen (Project Trust) gewährt wurde, und zwar über das Projekt-Tooling. CVSS-Basiswert: 8.4 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 2026.2 oder neuer aktualisieren.

In JetBrains PhpStorm vor Version 2026.2 war die Ausführung beliebigen Codes möglich, bevor einem Projekt Vertrauen gewährt wurde – ausgelöst über den konfigurierten Interpreter. Bereits das Öffnen eines präparierten Projekts konnte so Code zur Ausführung bringen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf PhpStorm 2026.2 oder neuer.

In JetBrains WebStorm vor Version 2026.2 war eine Codeausführung möglich, bevor einem Projekt das Vertrauen erteilt wurde – über projektlokale Linter-Werkzeuge. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: auf WebStorm 2026.2 oder neuer aktualisieren.

In JetBrains WebStorm vor Version 2026.2 war eine Ausführung beliebigen Codes über eine vom Projekt bereitgestellte Linter-Konfiguration möglich. Die Ausnutzung erfordert laut CVSS-Vektor eine Nutzerinteraktion (UI:R). CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 2026.2 oder neuer aktualisieren.

In JetBrains IntelliJ IDEA vor Version 2026.2 war eine beliebige Codeausführung möglich, bevor einem Projekt vertraut wurde – ausgelöst über die Konfiguration eines Development-Containers. Die Ausnutzung setzt eine Nutzerinteraktion voraus, etwa das Öffnen eines präparierten Projekts. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf IntelliJ IDEA 2026.2 oder neuer.

In JetBrains PyCharm vor den Versionen 2026.1.4 und 2026.2 war beim Öffnen eines nicht vertrauenswürdigen Projekts eine beliebige Codeausführung über eine bösartige Python-Executable möglich. Die Ausnutzung erfordert eine Nutzerinteraktion, etwa das Öffnen eines präparierten Projekts. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Update auf PyCharm 2026.1.4 bzw. 2026.2 oder neuer.

In JetBrains TeamCity vor Version 2026.1.2 war ein gespeichertes Cross-Site Scripting über die unauthentifizierte Registrierung eines Agents möglich. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf TeamCity 2026.1.2 oder neuer.

In JetBrains TeamCity vor Version 2026.1.2 ist laut NVD gespeichertes Cross-Site-Scripting auf der Cloud-Profile-Seite möglich, ausgelöst über von Agents gemeldete Daten. CVSS-Basiswert: 7.3 (Hoch).

In JetBrains GoLand vor Version 2026.1.3 war eine Remote-Code-Ausführung über eine nicht vertrauenswürdige Projektkonfiguration möglich. CVSS-Basiswert: 7.1 (Hoch).

In JetBrains TeamCity vor Version 2026.1 (2025.11.5) konnten authentifizierte Benutzer die Server-API für unautorisierten Zugriff offenlegen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf TeamCity 2026.1 bzw. 2025.11.5.

In JetBrains IntelliJ IDEA vor den Versionen 2024.3.7.1, 2025.1.7.1, 2025.2.6.2, 2025.3.4.1 und 2026.1.1 war es über den integrierten Webserver möglich, beliebige lokale Dateien zu lesen. Der Angriff erfordert eine Benutzerinteraktion und kann über das Netzwerk ausgelöst werden. CVSS-Basiswert: 7.4 (Hoch).

In JetBrains YouTrack vor Version 2025.3.131383 kann ein hoch privilegierter Benutzer durch eine Umgehung der Sandbox Remote Code Execution erreichen. CVSS-Basiswert: 7.2 (Hoch).

Eine fehlerhafte Zertifikatsvalidierung im Devolutions Hub Reporting Service 2025.3.1.1 und früher erlaubt einem Angreifer im Netzwerk einen Man-in-the-Middle-Angriff, da die TLS-Zertifikatsprüfung deaktiviert ist. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: betroffene Software gemäss Hersteller-Advisory aktualisieren.

Sourcecodester Logistic Hub Parcel's Management System v1.0 ist in der Datei /manage_carrier.php für SQL-Injection anfällig. CVSS-Basiswert: 7.2 (Hoch).

In JetBrains YouTrack vor Version 2025.3.121962 konnten Apps Anfragen an den Endpunkt für App-Berechtigungen senden. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 2025.3.121962 oder neuer.

In JetBrains PyCharm vor Version 2025.3.2 war ein DOM-basiertes Cross-Site Scripting auf der Jupyter-Viewer-Seite möglich. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf PyCharm 2025.3.2 oder neuer.

In Acquia Content Hub (Drupal) besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF), über die Angreifer Aktionen im Namen eines authentifizierten Nutzers auslösen können. Betroffen sind die Versionen von 0.0.0 vor 3.6.4 sowie von 3.7.0 vor 3.7.3. CVSS-Basiswert: 8.1 (Hoch).

Nodemailer enthält laut NVD-Eintrag eine Schwachstelle, die einen Denial-of-Service über einen präparierten E-Mail-Adress-Header ermöglicht. Der Header löst eine unendliche Rekursion im Adress-Parser aus. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Einschätzung liegt für diesen Eintrag nicht vor.

Im Firmware-Update-Prozess der Aqara Hubs (Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 und Hub M3 4.3.6_0025) erlauben mehrere Schwachstellen Angreifern die Installation bösartiger Firmware ohne ordnungsgemässe Verifizierung. Die Geräte prüfen bei Updates keine Firmware-Signaturen, verwenden veraltete kryptografische Verfahren, mit denen sich gültige Signaturen fälschen lassen, und geben Informationen über unzureichend initialisierten Speicher preis. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate einspielen.

Aqara-Hub-Geräte, darunter Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 und Hub M3 4.3.6_0025, sammeln und übertragen laut NVD automatisch unverschlüsselte, sensible Informationen – ohne Offenlegung oder Zustimmung durch den Hersteller. CVSS-Basiswert: 7.5 (Hoch).

Aqara-Hub-Geräte, darunter Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 und Hub M3 4.3.6_0025, validieren bei HTTPS-Firmware-Downloads keine Server-Zertifikate. Dadurch können Man-in-the-Middle-Angreifer den Firmware-Update-Datenverkehr abfangen und potenziell manipulierte Firmware-Dateien ausliefern. Die Ausnutzung ist ohne Authentifizierung und ohne Nutzerinteraktion über das Netzwerk möglich, erfordert aber hohen Angriffsaufwand (CVSS-Vektor: AV:N/AC:H/PR:N/UI:N). CVSS-Basiswert: 7.4 (Hoch).

Aqara-Hub-Geräte, darunter Hub M2 (4.3.6_0027), Hub M3 (4.3.6_0025) und Camera Hub G3 (4.1.9_0027), validieren Server-Zertifikate bei TLS-Verbindungen für Discovery-Dienste und die CoAP-Gateway-Kommunikation nicht korrekt. Dies ermöglicht Man-in-the-Middle-Angriffe auf die Gerätesteuerung und -überwachung. CVSS-Basiswert: 7.4 (Hoch).

In Aqara-Hub-Geräten, darunter Camera Hub G3 (4.1.9_0027), Hub M2 (4.3.6_0027) und Hub M3 (4.3.6_0025), erlaubt eine Command-Injection-Schwachstelle Angreifern über bösartige Domainnamen die Ausführung beliebiger Befehle mit Root-Rechten. CVSS-Basiswert: 7.3 (Hoch). Laut CVSS-Vektor erfordert die Ausnutzung lokalen Zugriff sowie eine Benutzerinteraktion, wirkt sich bei Erfolg aber vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus.

HP System Event Utility und Omen Gaming Hub konnten die Ausführung bestimmter Dateien ausserhalb ihrer eingeschränkten Pfade zulassen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf HP System Event Utility Version 3.2.12 bzw. Omen Gaming Hub Version 1101.2511.101.0 aktualisieren.

In JetBrains ReSharper vor Version 2025.2.4 erlaubt eine fehlende Signaturprüfung im DPA Collector eine lokale Rechteausweitung (Local Privilege Escalation). CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: auf JetBrains ReSharper 2025.2.4 oder neuer aktualisieren.

In JetBrains YouTrack vor Version 2025.3.104432 ermöglichte eine fehlende TLS-Zertifikatsvalidierung den Abfluss von Daten. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf YouTrack 2025.3.104432 oder neuer.

Eine leicht ausnutzbare Schwachstelle in der Item-Catalog-Komponente von Oracle Product Hub der Oracle E-Business Suite (Versionen 12.2.3 bis 12.2.14) erlaubt einem gering privilegierten Angreifer mit Netzwerkzugang über HTTP die Kompromittierung von Oracle Product Hub. Erfolgreiche Angriffe können zu unbefugtem Erstellen, Löschen oder Ändern kritischer Daten sowie zum Zugriff auf alle zugänglichen Daten führen. CVSS-Basiswert: 8.1 (Hoch).

In Qualcomm-Komponenten tritt während des PlayReady-APP-Anwendungsfalls bei der Verarbeitung von TA-Kommandos eine Speicherbeschädigung auf. Laut CVSS-Vektor ist der Angriff lokal mit geringen Rechten und ohne Benutzerinteraktion möglich und beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzung ist bislang nicht als aktiv ausgewiesen.

Eine Open-Redirect-Schwachstelle in KNIME Business Hub vor Version 1.16.0 erlaubt es einem nicht authentifizierten Angreifer, einen präparierten Link zu einer legitimen KNIME-Business-Hub-Installation zu erstellen, der Nutzer beim Öffnen auf eine vom Angreifer gewählte Seite umleitet. Dies kann für Phishing oder ähnliche Angriffe missbraucht werden. Das Problem wurde in KNIME Business Hub 1.16.0 behoben. CVSS-Basiswert: 7.2 (Hoch).

Beim Parsen der EPTM-Testkontrollnachricht zur Ermittlung des Testmusters kann in betroffenen Qualcomm-Komponenten ein transienter Denial of Service auftreten. Die Schwachstelle ist laut Bewertung über das Netzwerk und ohne Benutzerinteraktion ausnutzbar, wirkt sich jedoch ausschliesslich auf die Verfügbarkeit aus. CVSS-Basiswert: 7.5 (Hoch).

Laut Quelle besteht bei der Dekodierung von RSA-PKCS-Padding ein kryptografisches Problem. Weitere Angaben zur betroffenen Komponente liegen in den Quelldaten nicht vor; als betroffene Produkte sind Home Assistant, JetBrains TeamCity und Zimbra hinterlegt. CVSS-Basiswert: 7.1 (Hoch).

In JetBrains Junie war vor mehreren Buildversionen (unter anderem 252.284.66) eine Codeausführung aufgrund einer mangelhaften Befehlsvalidierung möglich. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine korrigierte Junie-Version.

In JetBrains TeamCity vor Version 2025.07.2 fehlt eine Validierung von Git-URLs, wodurch unter Windows Zugangsdaten preisgegeben werden können. CVSS-Basiswert: 7.7 (Hoch). Zur Ausnutzungswahrscheinlichkeit (EPSS) liegen für diese Lücke keine Angaben vor. Sie wird laut den vorliegenden Daten nicht als aktiv ausgenutzt geführt und ist nicht mit Ransomware-Kampagnen in Verbindung gebracht. Empfohlene Massnahme: Update auf Version 2025.07.2 oder höher.

In JetBrains IDE Services vor 2025.5.0.1086 und 2025.4.2.2164 konnten Benutzer ohne entsprechende Berechtigungen sich selbst eine hochprivilegierte Rolle zuweisen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf 2025.5.0.1086 bzw. 2025.4.2.2164 oder neuer.

In JetBrains YouTrack vor Version 2025.2.92387 war gespeichertes Cross-Site-Scripting über Inhalte von Mermaid-Diagrammen möglich. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf YouTrack 2025.2.92387 oder neuer.

In JetBrains TeamCity vor Version 2025.07.1 war eine Rechteausweitung (Privilege Escalation) durch eine falsche Verzeichnis-Eigentümerschaft möglich. CVSS-Basiswert: 7.5 (Hoch).

Laut NVD besteht eine unzureichende Authentisierung in Azure Stack, die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Informationen offenzulegen. CVSS-Basiswert: 7.5 (Hoch). Weitere Angaben zu betroffenen Versionen oder einer Gegenmassnahme liegen in den Quelldaten nicht vor.

In JetBrains TeamCity vor Version 2025.07 ist unter Windows ein Path-Traversal-Angriff über das Entpacken von Plugins möglich. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 2025.07.

In JetBrains TeamCity vor Version 2025.07 war laut NVD aufgrund falsch gesetzter Verzeichnisberechtigungen eine Rechteausweitung (Privilege Escalation) möglich. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf TeamCity 2025.07 oder höher aktualisieren.

In JetBrains YouTrack vor den Versionen 2025.2.86069, 2024.3.85077 und 2025.1.86199 war E-Mail-Spoofing über eine administrative API möglich. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: auf Version 2025.2.86069, 2024.3.85077 oder 2025.1.86199 aktualisieren.

Bei der Verarbeitung eines fehlerhaften Längenfelds in SSID-Information-Elements kann auf betroffenen Qualcomm-Chipsätzen ein transienter Denial of Service auftreten. Die Schwachstelle ist netzwerkbasiert und ohne Nutzerinteraktion oder Rechte ausnutzbar; betroffen ist ausschliesslich die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Weitere technische Details zu betroffenen Produktversionen liegen in den Quelldaten nicht vor.

Bei der Verarbeitung eines empfangenen Beacon-Frames kann laut Quelle ein transienter Denial-of-Service auftreten. Weitere technische Details liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

In JetBrains YouTrack vor Version 2025.1.76253 ist das Löschen von Issues aufgrund fehlender Berechtigungsprüfungen in der API möglich. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 2025.1.76253.

In der JetBrains Toolbox App vor Version 2.6 war eine Command Injection im SSH-Plugin möglich. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf JetBrains Toolbox App 2.6.

In JetBrains RubyMine vor Version 2025.1 überschrieb der Remote-Interpreter Ports und lauschte dadurch auf allen Netzwerkschnittstellen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Auf JetBrains RubyMine 2025.1 oder neuer aktualisieren.

Ein fest codiertes, nicht zufälliges Passwort für den Objektspeicher (minio) von KNIME Business Hub in allen ausser den angegebenen Versionen erlaubt einem unauthentifizierten entfernten Angreifer im Besitz des Passworts, ausgelagerte Jobs zu lesen und zu manipulieren oder die Ein- und Ausgabedaten aktiver Jobs zu lesen und zu manipulieren. Zudem ist ein Denial-of-Service möglich, indem grosse Datenmengen direkt in den Objektspeicher geschrieben werden. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Update auf KNIME Business Hub 1.13.2 oder neuer, 1.12.3 oder neuer, 1.11.3 oder neuer bzw. 1.10.3 oder neuer.

KNIME Business Hub ist von mehreren Cross-Site-Scripting-Schwachstellen in seinen Webseiten betroffen. Klickt ein Nutzer auf einen präparierten Link oder öffnet eine bösartige Webseite, kann beliebiger JavaScript-Code mit dessen Berechtigungen ausgeführt werden, was zu Informationsverlust und/oder Veränderung bestehender Daten führen kann. Ursache ist ein Fehler im weit verbreiteten Modul nuxt-security. Es gibt keine praktikablen Workarounds. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf KNIME Business Hub 1.13.3 oder später bzw. 1.12.4 oder später.

KNIME Business Hub ist laut NVD von der ingress-nginx-Schwachstelle CVE-2025-1974 (IngressNightmare) betroffen. Im schlimmsten Fall ist eine vollständige Übernahme des Kubernetes-Clusters möglich; da die betroffene Komponente nur clusterintern erreichbar ist, ist die Schwere im Kontext von KNIME Business Hub etwas geringer. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf KNIME Business Hub 1.13.3, 1.12.4, 1.11.4 oder 1.10.4 (oder neuer) aktualisieren.

In JetBrains TeamCity vor Version 2024.12.2 können unsichere Kubernetes-Verbindungseinstellungen sensible Ressourcen offenlegen. CVSS-Basiswert: 7.7 (Hoch).

Für diese CVE liegt in den Quelldaten lediglich der Titel „Microsoft Surface Security Feature Bypass Vulnerability“ vor, also eine Umgehung eines Sicherheitsmechanismus. Weitere Details zur genauen Schwachstelle sind nicht dokumentiert; als betroffenes Produkt ist JetBrains TeamCity hinterlegt. CVSS-Basiswert: 7.1 (Hoch).