JetBrains TeamCity Seite 2

In JetBrains TeamCity vor Version 2026.1.2 war aufgrund unzureichender Berechtigungsprüfungen eine Manipulation von Build-Pipelines möglich. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf TeamCity 2026.1.2 oder neuer aktualisieren.

Im Firmware-Update-Prozess der Aqara Hubs (Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 und Hub M3 4.3.6_0025) erlauben mehrere Schwachstellen Angreifern die Installation bösartiger Firmware ohne ordnungsgemässe Verifizierung. Die Geräte prüfen bei Updates keine Firmware-Signaturen, verwenden veraltete kryptografische Verfahren, mit denen sich gültige Signaturen fälschen lassen, und geben Informationen über unzureichend initialisierten Speicher preis. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate einspielen.

In JetBrains YouTrack vor Version 2026.2.18634 ermöglichen ungeprüfte Änderungen an Gruppenmitgliedschaften laut NVD eine Rechteausweitung. CVSS-Basiswert: 8.8 (Hoch).

Eine unzureichende Granularität der Zugriffskontrolle in Microsoft Surface erlaubt es einem autorisierten Angreifer, lokal seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch). Der Angriff erfolgt lokal mit niedrigen Rechten. Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

In JetBrains YouTrack vor den Versionen 2026.2.18788, 2026.1.14055 und 2025.3.161254 erlaubt laut NVD eine fehlende Autorisierungsprüfung den Zugriff auf eingeschränkte REST-API-Ressourcen über eine Insecure Direct Object Reference (IDOR). CVSS-Basiswert: 8.1 (Hoch).

Aqara-Hub-Geräte, darunter Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 und Hub M3 4.3.6_0025, sammeln und übertragen laut NVD automatisch unverschlüsselte, sensible Informationen – ohne Offenlegung oder Zustimmung durch den Hersteller. CVSS-Basiswert: 7.5 (Hoch).

Aqara-Hub-Geräte, darunter Camera Hub G3 4.1.9_0027, Hub M2 4.3.6_0027 und Hub M3 4.3.6_0025, validieren bei HTTPS-Firmware-Downloads keine Server-Zertifikate. Dadurch können Man-in-the-Middle-Angreifer den Firmware-Update-Datenverkehr abfangen und potenziell manipulierte Firmware-Dateien ausliefern. Die Ausnutzung ist ohne Authentifizierung und ohne Nutzerinteraktion über das Netzwerk möglich, erfordert aber hohen Angriffsaufwand (CVSS-Vektor: AV:N/AC:H/PR:N/UI:N). CVSS-Basiswert: 7.4 (Hoch).

Aqara-Hub-Geräte, darunter Hub M2 (4.3.6_0027), Hub M3 (4.3.6_0025) und Camera Hub G3 (4.1.9_0027), validieren Server-Zertifikate bei TLS-Verbindungen für Discovery-Dienste und die CoAP-Gateway-Kommunikation nicht korrekt. Dies ermöglicht Man-in-the-Middle-Angriffe auf die Gerätesteuerung und -überwachung. CVSS-Basiswert: 7.4 (Hoch).

In JetBrains YouTrack vor Version 2025.3.160480 bzw. 2026.1.14047 erlauben laut NVD PUT-Anfragen auf Link-Subressourcen die Änderung verknüpfter Entitäten ohne die erforderliche Update-Berechtigung. CVSS-Basiswert: 7.7 (Hoch).

In JetBrains IntelliJ IDEA vor Version 2026.2.2 fehlten laut NVD TLS- Verschlüsselung und Authentifizierung beim IJent-gRPC-Server, wodurch lokale Codeausführung auf Remote-Development-Hosts möglich wurde. CVSS-Basiswert: 8.4 (Hoch).

In JetBrains GoLand vor Version 2026.2 war die Ausführung beliebigen Codes bereits vor der Erteilung des Projekt-Vertrauens möglich, ausgelöst über die Go-Modules-Integration. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf GoLand 2026.2 oder neuer.

In JetBrains GoLand vor Version 2026.2 war eine beliebige Codeausführung möglich, bevor dem Projekt Vertrauen gewährt wurde – über das konfigurierte Go SDK. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 2026.2 aktualisieren.

In JetBrains WebStorm vor Version 2026.2 war die Ausführung beliebigen Codes bereits vor der Erteilung des Projekt-Vertrauens möglich, ausgelöst über projektlokale Paketmanager-Werkzeuge. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf WebStorm 2026.2 oder neuer.

In JetBrains WebStorm vor Version 2026.2 war eine beliebige Codeausführung möglich, bevor dem Projekt Vertrauen gewährt wurde – über den konfigurierten Node.js-Interpreter. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: auf Version 2026.2 aktualisieren.

In JetBrains PhpStorm vor Version 2026.2 war eine Ausführung beliebigen Codes möglich, bevor dem Projekt Vertrauen (Project Trust) gewährt wurde, und zwar über das Projekt-Tooling. CVSS-Basiswert: 8.4 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 2026.2 oder neuer aktualisieren.

In JetBrains PhpStorm vor Version 2026.2 war die Ausführung beliebigen Codes möglich, bevor einem Projekt Vertrauen gewährt wurde – ausgelöst über den konfigurierten Interpreter. Bereits das Öffnen eines präparierten Projekts konnte so Code zur Ausführung bringen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf PhpStorm 2026.2 oder neuer.

In JetBrains WebStorm vor Version 2026.2 war eine Codeausführung möglich, bevor einem Projekt das Vertrauen erteilt wurde – über projektlokale Linter-Werkzeuge. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: auf WebStorm 2026.2 oder neuer aktualisieren.

In JetBrains IntelliJ IDEA vor Version 2026.2.2 fehlt vor dem Bauen eines Dev Containers eine Bestätigung des Projekt-Vertrauensstatus, wodurch Codeausführung auf Host-Ebene ermöglicht wird. CVSS-Basiswert: 7.8 (Hoch). Zu Ausnutzungswahrscheinlichkeit und aktiver Ausnutzung liegen keine Angaben vor.

In JetBrains WebStorm vor Version 2026.2 war eine Ausführung beliebigen Codes über eine vom Projekt bereitgestellte Linter-Konfiguration möglich. Die Ausnutzung erfordert laut CVSS-Vektor eine Nutzerinteraktion (UI:R). CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 2026.2 oder neuer aktualisieren.

In JetBrains IntelliJ IDEA vor Version 2026.2 war eine beliebige Codeausführung möglich, bevor einem Projekt vertraut wurde – ausgelöst über die Konfiguration eines Development-Containers. Die Ausnutzung setzt eine Nutzerinteraktion voraus, etwa das Öffnen eines präparierten Projekts. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf IntelliJ IDEA 2026.2 oder neuer.

In JetBrains PyCharm vor den Versionen 2026.1.4 und 2026.2 war beim Öffnen eines nicht vertrauenswürdigen Projekts eine beliebige Codeausführung über eine bösartige Python-Executable möglich. Die Ausnutzung erfordert eine Nutzerinteraktion, etwa das Öffnen eines präparierten Projekts. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Update auf PyCharm 2026.1.4 bzw. 2026.2 oder neuer.

Laut Quelle besteht bei der Dekodierung von RSA-PKCS-Padding ein kryptografisches Problem. Weitere Angaben zur betroffenen Komponente liegen in den Quelldaten nicht vor; als betroffene Produkte sind Home Assistant, JetBrains TeamCity und Zimbra hinterlegt. CVSS-Basiswert: 7.1 (Hoch).

In JetBrains TeamCity vor Version 2026.1.2 war ein gespeichertes Cross-Site Scripting über die unauthentifizierte Registrierung eines Agents möglich. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf TeamCity 2026.1.2 oder neuer.

In JetBrains TeamCity vor Version 2026.1.2 ist laut NVD gespeichertes Cross-Site-Scripting auf der Cloud-Profile-Seite möglich, ausgelöst über von Agents gemeldete Daten. CVSS-Basiswert: 7.3 (Hoch).

In JetBrains GoLand vor Version 2026.1.3 war eine Remote-Code-Ausführung über eine nicht vertrauenswürdige Projektkonfiguration möglich. CVSS-Basiswert: 7.1 (Hoch).

In JetBrains TeamCity vor Version 2026.1 (2025.11.5) konnten authentifizierte Benutzer die Server-API für unautorisierten Zugriff offenlegen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf TeamCity 2026.1 bzw. 2025.11.5.

In JetBrains IntelliJ IDEA vor den Versionen 2024.3.7.1, 2025.1.7.1, 2025.2.6.2, 2025.3.4.1 und 2026.1.1 war es über den integrierten Webserver möglich, beliebige lokale Dateien zu lesen. Der Angriff erfordert eine Benutzerinteraktion und kann über das Netzwerk ausgelöst werden. CVSS-Basiswert: 7.4 (Hoch).

In JetBrains YouTrack vor Version 2025.3.131383 kann ein hoch privilegierter Benutzer durch eine Umgehung der Sandbox Remote Code Execution erreichen. CVSS-Basiswert: 7.2 (Hoch).

Eine fehlerhafte Zertifikatsvalidierung im Devolutions Hub Reporting Service 2025.3.1.1 und früher erlaubt einem Angreifer im Netzwerk einen Man-in-the-Middle-Angriff, da die TLS-Zertifikatsprüfung deaktiviert ist. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: betroffene Software gemäss Hersteller-Advisory aktualisieren.

Sourcecodester Logistic Hub Parcel's Management System v1.0 ist in der Datei /manage_carrier.php für SQL-Injection anfällig. CVSS-Basiswert: 7.2 (Hoch).

In JetBrains YouTrack vor Version 2025.3.121962 konnten Apps Anfragen an den Endpunkt für App-Berechtigungen senden. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 2025.3.121962 oder neuer.

In JetBrains PyCharm vor Version 2025.3.2 war ein DOM-basiertes Cross-Site Scripting auf der Jupyter-Viewer-Seite möglich. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf PyCharm 2025.3.2 oder neuer.

In Acquia Content Hub (Drupal) besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF), über die Angreifer Aktionen im Namen eines authentifizierten Nutzers auslösen können. Betroffen sind die Versionen von 0.0.0 vor 3.6.4 sowie von 3.7.0 vor 3.7.3. CVSS-Basiswert: 8.1 (Hoch).

HP System Event Utility und Omen Gaming Hub konnten die Ausführung bestimmter Dateien ausserhalb ihrer eingeschränkten Pfade zulassen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf HP System Event Utility Version 3.2.12 bzw. Omen Gaming Hub Version 1101.2511.101.0 aktualisieren.

In JetBrains ReSharper vor Version 2025.2.4 erlaubt eine fehlende Signaturprüfung im DPA Collector eine lokale Rechteausweitung (Local Privilege Escalation). CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: auf JetBrains ReSharper 2025.2.4 oder neuer aktualisieren.

In JetBrains YouTrack vor Version 2025.3.104432 ermöglichte eine fehlende TLS-Zertifikatsvalidierung den Abfluss von Daten. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf YouTrack 2025.3.104432 oder neuer.

Eine leicht ausnutzbare Schwachstelle in der Item-Catalog-Komponente von Oracle Product Hub der Oracle E-Business Suite (Versionen 12.2.3 bis 12.2.14) erlaubt einem gering privilegierten Angreifer mit Netzwerkzugang über HTTP die Kompromittierung von Oracle Product Hub. Erfolgreiche Angriffe können zu unbefugtem Erstellen, Löschen oder Ändern kritischer Daten sowie zum Zugriff auf alle zugänglichen Daten führen. CVSS-Basiswert: 8.1 (Hoch).

In Qualcomm-Komponenten tritt während des PlayReady-APP-Anwendungsfalls bei der Verarbeitung von TA-Kommandos eine Speicherbeschädigung auf. Laut CVSS-Vektor ist der Angriff lokal mit geringen Rechten und ohne Benutzerinteraktion möglich und beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzung ist bislang nicht als aktiv ausgewiesen.

Eine Open-Redirect-Schwachstelle in KNIME Business Hub vor Version 1.16.0 erlaubt es einem nicht authentifizierten Angreifer, einen präparierten Link zu einer legitimen KNIME-Business-Hub-Installation zu erstellen, der Nutzer beim Öffnen auf eine vom Angreifer gewählte Seite umleitet. Dies kann für Phishing oder ähnliche Angriffe missbraucht werden. Das Problem wurde in KNIME Business Hub 1.16.0 behoben. CVSS-Basiswert: 7.2 (Hoch).

Beim Parsen der EPTM-Testkontrollnachricht zur Ermittlung des Testmusters kann in betroffenen Qualcomm-Komponenten ein transienter Denial of Service auftreten. Die Schwachstelle ist laut Bewertung über das Netzwerk und ohne Benutzerinteraktion ausnutzbar, wirkt sich jedoch ausschliesslich auf die Verfügbarkeit aus. CVSS-Basiswert: 7.5 (Hoch).

In JetBrains Junie war vor mehreren Buildversionen (unter anderem 252.284.66) eine Codeausführung aufgrund einer mangelhaften Befehlsvalidierung möglich. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine korrigierte Junie-Version.

In JetBrains TeamCity vor Version 2025.07.2 fehlt eine Validierung von Git-URLs, wodurch unter Windows Zugangsdaten preisgegeben werden können. CVSS-Basiswert: 7.7 (Hoch). Zur Ausnutzungswahrscheinlichkeit (EPSS) liegen für diese Lücke keine Angaben vor. Sie wird laut den vorliegenden Daten nicht als aktiv ausgenutzt geführt und ist nicht mit Ransomware-Kampagnen in Verbindung gebracht. Empfohlene Massnahme: Update auf Version 2025.07.2 oder höher.

In JetBrains YouTrack vor Version 2025.2.92387 war gespeichertes Cross-Site-Scripting über Inhalte von Mermaid-Diagrammen möglich. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf YouTrack 2025.2.92387 oder neuer.

In JetBrains TeamCity vor Version 2025.07.1 war eine Rechteausweitung (Privilege Escalation) durch eine falsche Verzeichnis-Eigentümerschaft möglich. CVSS-Basiswert: 7.5 (Hoch).

Laut NVD besteht eine unzureichende Authentisierung in Azure Stack, die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Informationen offenzulegen. CVSS-Basiswert: 7.5 (Hoch). Weitere Angaben zu betroffenen Versionen oder einer Gegenmassnahme liegen in den Quelldaten nicht vor.

In JetBrains TeamCity vor Version 2025.07 ist unter Windows ein Path-Traversal-Angriff über das Entpacken von Plugins möglich. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 2025.07.

In JetBrains TeamCity vor Version 2025.07 war laut NVD aufgrund falsch gesetzter Verzeichnisberechtigungen eine Rechteausweitung (Privilege Escalation) möglich. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf TeamCity 2025.07 oder höher aktualisieren.

In JetBrains YouTrack vor den Versionen 2025.2.86069, 2024.3.85077 und 2025.1.86199 war E-Mail-Spoofing über eine administrative API möglich. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: auf Version 2025.2.86069, 2024.3.85077 oder 2025.1.86199 aktualisieren.

Bei der Verarbeitung eines fehlerhaften Längenfelds in SSID-Information-Elements kann auf betroffenen Qualcomm-Chipsätzen ein transienter Denial of Service auftreten. Die Schwachstelle ist netzwerkbasiert und ohne Nutzerinteraktion oder Rechte ausnutzbar; betroffen ist ausschliesslich die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Weitere technische Details zu betroffenen Produktversionen liegen in den Quelldaten nicht vor.

Bei der Verarbeitung eines empfangenen Beacon-Frames kann laut Quelle ein transienter Denial-of-Service auftreten. Weitere technische Details liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.