Matrix Synapse / Element Seite 2

Im X.Org Server wurde ein Fehler gefunden: Sowohl das DeviceFocusEvent als auch die XIQueryPointer-Antwort enthalten ein Bit pro aktuell gedrückter logischer Taste. Tasten lassen sich beliebig auf Werte bis 255 abbilden, doch der X.Org Server reservierte nur Speicher für die tatsächliche Tastenanzahl des Geräts, was bei einem grösseren Wert zu einem Heap-Overflow führt. CVSS-Basiswert: 9.8 (Kritisch).

Sydent ist ein Identity Server für das Matrix-Kommunikationsprotokoll. In Versionen vor 2.5.6 überprüft Sydent bei aktiviertem TLS die Zertifikate der SMTP-Server nicht. Dadurch sind die von Sydent versendeten E-Mails anfällig für das Abfangen durch einen Man-in-the-Middle-Angriff. Angreifer mit privilegiertem Netzwerkzugriff können Raum-Einladungen und Bestätigungs-E-Mails abfangen. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Sydent 2.5.6.

In Apache Tomcat (Versionen 10.0.0-M1 bis 10.0.0-M4, 9.0.0.M1 bis 9.0.34, 8.5.0 bis 8.5.54 und 7.0.0 bis 7.0.103) besteht laut NVD eine Schwachstelle, sofern ein Angreifer Inhalt und Namen einer Datei auf dem Server kontrollieren kann. CVSS-Basiswert: 7.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 56.6 %. Neben den Apache-Projekten führen auch Debian, SUSE/openSUSE, Fedora, Ubuntu, Axis, SimpleHelp und Element (Matrix.org) die Lücke in ihren eigenen Advisories.

In der Kompressionsbibliothek zlib besteht vor Version 1.2.12 eine Schwachstelle, die beim Komprimieren (deflate) zu Speicherbeschädigung führen kann, wenn die Eingabe viele weit entfernte Übereinstimmungen (distant matches) enthält. Betroffen sind zahlreiche Produkte und Distributionen, die zlib einbetten. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 51.7 %. Empfohlene Massnahme: auf zlib 1.2.12 oder eine vom jeweiligen Hersteller bereitgestellte korrigierte Version aktualisieren.

FasterXML jackson-databind vor Version 2.9.10.8 behandelt das Zusammenspiel von Serialisierungs-Gadgets und Typisierung fehlerhaft, konkret im Zusammenhang mit oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS. Dies kann Angreifern eine unautorisierte Deserialisierung von Objekten ermöglichen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 20.9 %.

FasterXML jackson-databind vor Version 2.9.10.8 behandelt das Zusammenspiel von Serialisierungs-Gadgets und Typisierung fehlerhaft, konkret im Zusammenhang mit com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool. Dies kann Angreifern eine unautorisierte Deserialisierung von Objekten ermöglichen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 12.5 %.

FasterXML jackson-databind vor Version 2.9.10.8 verarbeitet laut NVD das Zusammenspiel von Serialisierungs-Gadgets und Typing fehlerhaft, konkret im Zusammenhang mit der Klasse com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 10.9 %. Laut Quelldaten sind unter anderem NetApp, NAKIVO, Debian, Univention, Magento/Adobe Commerce, Axis, Sonatype, Element (Matrix.org) und Oracle betroffen.

In FasterXML jackson-databind vor Version 2.9.10.8 wird die Interaktion zwischen Serialisierungs-Gadgets und Typisierung fehlerhaft behandelt, betroffen ist unter anderem die Klasse org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource. Betroffen sind laut Zuordnung unter anderem NetApp, NAKIVO, Debian, Univention, Magento/Adobe Commerce, Axis, Sonatype, Element (Matrix.org) und Oracle (CPU/EBS/PeopleSoft/WebLogic). CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 10.4 %.

In Ruijie EG105G-P 2.340 besteht eine Schwachstelle in der Funktion nslookup der Datei /cgi-bin/luci/api/diagnose, Bestandteil des JSON-RPC-Diagnose-Endpunkts. Über diesen Endpunkt lässt sich eine Manipulation durchführen, die zu einer Kompromittierung des Geräts führen kann. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.4 %.

In H3C NX15 V100R017 erlaubt eine Manipulation des Arguments esps.filter.url in der Funktion Add der Datei /api/esps eine Kommandoinjektion. CVSS-Basiswert: 7.2 (Hoch). Die Zuordnung weist Matrix Synapse als betroffenes Produkt aus. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

In H3C NX15 V100R017 besteht in der Funktion esps.ipv6.wan der Datei /api/esps eine Schwachstelle: eine Manipulation des Arguments workMode kann zu einer Kommandoinjektion führen. Weitere Angaben zu den genauen Auswirkungen sind in der Quelle abgeschnitten. CVSS-Basiswert: 7.2 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In GL.iNet AX1800 bis Version 4.8.3 wurde laut NVD eine Schwachstelle in der Funktion remove_rule der Datei /usr/share/gl-ngx/oui-rpc.lua identifiziert, die zur Komponente RPC Endpoint gehört. Die Quellbeschreibung bricht bei der Angabe der genauen Auswirkung ab, weshalb hierzu keine weiteren Details vorliegen. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In GL.iNet GL-MT3000 bis Version 4.4.5 wurde laut NVD eine Schwachstelle in der Funktion logread.get_system_log der Datei /usr/lib/oui-httpd/rpc/logread (Komponente Logread Lua RPC) festgestellt. CVSS-Basiswert: 8.8 (Hoch). Laut CVSS-Vektor ist die Lücke aus dem Netz erreichbar, benötigt nur niedrige Rechte und keine Benutzerinteraktion; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Bewertung liegt für diesen Eintrag nicht vor.

In Totolink A7100RU 7.4cu.2313_b20191024 besteht eine Schwachstelle in der Funktion setRemoteCfg der Datei /cgi-bin/cstecgi.cgi. Die Manipulation des Arguments enable lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %.

In Totolink A7100RU 7.4cu.2313_b20191024 ist die Funktion setNtpCfg der Datei /cgi-bin/cstecgi.cgi betroffen; die Manipulation des Arguments tz löst die Schwachstelle aus. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %.

In GL.iNet GL-MT3000-Geräten bis Version 4.4.5 wurde in der Funktion logread.set_config der Datei /usr/lib/oui-httpd/rpc/logread der Komponente Logread Lua RPC Plugin eine Schwachstelle identifiziert. CVSS-Basiswert: 8.0 (Hoch). Weitere technische Details oder eine Ausnutzungswahrscheinlichkeit (EPSS) liegen in den Quelldaten nicht vor.

In dvladimirov MCP bis Version 0.1.0 besteht eine Schwäche in der Funktion GitSearchRequest der Datei mcp_server.py in der Komponente Git Search API. Eine Manipulation lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

In suvarchal docker-mcp-server bis Version 0.1.0 besteht eine Schwachstelle in den Funktionen stop_container, remove_container und pull_image der Datei src/index.ts (HTTP-Komponente). Eine Manipulation kann die Sicherheit der betroffenen Komponente beeintraechtigen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Laut NVD besteht in der Komponente Config Import des Geräts Wavlink WL-NU516U1 (Firmware 708c073-mt7628) eine Schwachstelle in einer nicht näher benannten Funktion. Ein Angreifer kann die Schwachstelle durch Manipulation des Arguments Password ausnutzen; die Quellbeschreibung bricht an dieser Stelle ab, sodass die genaue Auswirkung nicht abschliessend belegt ist. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Im Totolink A7100RU (7.4cu.2313_b20191024) ist die Funktion setScheduleCfg der Datei /cgi-bin/cstecgi.cgi betroffen. Eine Manipulation der Eingaben ermöglicht einen aus der Ferne durchführbaren Angriff ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Empfohlene Massnahme: Herstellerupdate einspielen, sobald verfügbar, und die Verwaltungsschnittstelle nicht aus dem Internet erreichbar machen.

ERB ist ein Templating-System für Ruby. Ruby 2.7.0 führte (vor der Veröffentlichung von ERB 2.2.0 auf rubygems.org) eine @_init-Instanzvariablen-Absicherung in ERB#result und ERB#run ein, um Code-Ausführung zu verhindern. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Weitere Details sind der NVD-Quelle zu entnehmen.

In der Upload-Funktion der Datei /web/jquery/uploader/uploadify.php wurde eine Schwachstelle festgestellt, bei der sich durch Manipulation eines Arguments die betroffene Komponente beeinträchtigen lässt. Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk und ohne vorherige Authentifizierung ausnutzbar (AV:N/AC:L/PR:N). Die Quellbeschreibung liegt nur teilweise vor. CVSS-Basiswert: 7.3 (Hoch).

In jaychouchannel Tourism-Management-System (bis Commit 229956e20dbd4a80eeff14535e44d3099502af09) besteht laut NVD eine Schwachstelle in einer nicht näher spezifizierten Funktion der Update-Komponente. Details zur genauen Ausnutzung liegen in den verfügbaren Quelldaten nicht vollständig vor. CVSS-Basiswert: 7.3 (Hoch).

In vvbbnn00 WARP-Clash-API (bis Commit c7bf2360073959861219b422e51ae86411051b46) besteht in der Funktion authorized eine Schwachstelle durch Manipulation des Arguments SECRET_KEY; die genaue Auswirkung ist in der Quelle nicht näher beschrieben. CVSS-Basiswert: 7.3 (Hoch); der Vektor beschreibt eine aus dem Netzwerk ohne Nutzerinteraktion ausnutzbare Lücke mit jeweils geringer Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine aktive Ausnutzung laut CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht dokumentiert; eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Die Webanwendung openml/openml.org (Version v2.0.20241110) verwendet laut NVD für kritische Workflows wie Registrierungsbestätigung, Passwort-Reset, erneuten Versand der E-Mail-Bestätigung und Bestätigung von E-Mail-Änderungen vorhersagbare, MD5-basierte Tokens. Diese entstehen durch Hashing des aktuellen, tagesgenau formatierten Zeitstempels, ohne benutzerspezifische Daten oder kryptografischen Zufall einzubeziehen. Dadurch können entfernte Angreifer gültige Tokens innerhalb eines kleinen Zeitfensters erraten und so unautorisiert Konten bestätigen, Passwörter zurücksetzen oder E-Mail-Änderungen genehmigen, was bis zur vollständigen Account-Übernahme führen kann. CVSS-Basiswert: 7.5 (Hoch).

Auf UTT HiPER 1250GW (Firmware bis Version 3.2.7-210907-180535) besteht eine Schwachstelle in der Funktion strcpy der Datei /goform/getOneApConfTempEntry. Durch Manipulation eines Arguments kann laut Quelle ein Pufferüberlauf ausgelöst werden. CVSS-Basiswert: 8.8 (Hoch).

In elinsky execution-system-mcp 0.1.0 besteht eine Schwachstelle in der Funktion _get_context_file_path der Datei src/execution_system_mcp/server.py in der Komponente add_action Tool. Eine Manipulation lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Projekt jaychouchannel Tourism-Management-System (bis Commit 229956e20dbd4a80eeff14535e44d3099502af09) besteht laut Quelle eine Schwachstelle in einer nicht näher benannten Funktion der Datei travel/src/main/java/. CVSS-Basiswert: 7.3 (Hoch). Der Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L) beschreibt eine ohne Rechte oder Interaktion aus der Ferne ausnutzbare Lücke mit jeweils begrenzten Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

In JingDong JD Cloud Box AX6600 4.5.3.r4546 ist die Funktion set_macfilter der Datei /sbin/jdcweb_rpc betroffen; die Manipulation führt zu einem Stack-basierten Überlauf. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Router Tenda F451 (Versionen 1.0.0.7 und 1.0.0.9) besteht eine Schwachstelle in der Funktion fromNatlimit der Datei /goform/Natlimit innerhalb der Web-Management-Oberfläche. Durch Manipulation der Anfrage lässt sich die Schwachstelle über das Netzwerk ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In D-Link DIR-X1860 und DIR-X1860Z bis Version 1.0.2.220120.165402 wurde eine Schwachstelle in einer unbekannten Funktion der Datei /ubus der Komponente routerd entdeckt. CVSS-Basiswert: 8.8 (Hoch).

In UTT HiPER 1250GW (bis Version 3.2.7-210907-180535) betrifft eine Schwachstelle eine Funktion der Datei /goform/formRemoteControl. Durch Manipulation eines Parameters lässt sich die Schwachstelle aus der Ferne ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Tenda CX12L 16.03.53.12 wurde eine Schwachstelle in der Funktion form_fast_setting_wifi_set der Datei /goform/fast_setting_wifi_set der Wi-Fi-Komponente festgestellt. Eine Manipulation der Verarbeitung ermöglicht laut Quelldaten einen Angriff; die weiteren Details sind in der Quellbeschreibung nicht vollständig ausgeführt. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion möglich (AV:N/AC:L/PR:L/UI:N) und wirkt sich auf Vertraulichkeit, Integrität und Verfügbarkeit aus.

In der Funktion sub_45304 der Datei /goform/getRebootStatus des Web-Management-Interface von Tenda AC18 15.03.05.05 besteht laut NVD eine Schwachstelle, die sich durch Manipulation eines Parameters aus dem Netzwerk ohne Benutzerinteraktion ausnutzen lässt. Der CVSS-Vektor weist eine vollständige Beeinträchtigung von Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Firmware-Aktualisierung des Herstellers einspielen, sobald verfügbar, und den Zugriff auf die Management-Oberfläche einschränken.

In der Tenda CX12L 16.03.53.12 wurde eine Schwachstelle in der Funktion setSchedWifi der Datei /goform/openSchedWifi entdeckt, die zum Komponentenbereich der Wi-Fi-Schedule-Konfiguration gehört. Eine Manipulation über diesen Endpunkt kann die Sicherheit des Geräts beeinträchtigen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: bereitgestellte Hersteller-Updates einspielen und den Zugriff auf die Verwaltungsschnittstelle einschränken.

In Totolink N300RT 3.4.0-B20250430 besteht eine Schwachstelle in der Funktion is_cmd_string_valid der Datei /boafrm/formWsc in der Komponente libapmib.so. Die Manipulation lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im SourceCodester Online Reviewer Management System 1.0 wurde im Admin-Bereich unter /reviewer_0/admins/assessments/course/ eine Schwachstelle festgestellt, die laut NVD durch eine gezielte Manipulation ausgenutzt werden kann. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Laut Zuordnung betrifft die Lücke auch das überwachte Produkt Matrix Synapse von Element (Matrix.org).

In ggml-org llama.cpp (Version bec4772f6) wurde eine Schwachstelle in der Funktion deserialize_tensor der Datei ggml/src/ggml-rpc/ggml-rpc.cpp der Komponente ggml-RPC Server gefunden. CVSS-Basiswert: 7.3 (Hoch). Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar, mit jeweils geringen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Eine fehlende Bereichsprüfung in den Zugriffsfunktionen des BSON-CodeWScope-Elements erlaubt es einem Angreifer, über eine präparierte Aggregation-Pipeline einen Lesezugriff ausserhalb der Heap-Grenzen (Out-of-Bounds Heap Read) auszulösen. Die Schwachstelle lässt sich netzbasiert mit niedrigen Privilegien von einem authentifizierten Angreifer ausnutzen und wirkt sich vor allem auf die Verfügbarkeit aus. CVSS-Basiswert: 7.1 (Hoch).

In SourceCodester School Registration and Fee System 1.0 betrifft eine Schwachstelle eine unbekannte Funktion der Datei /bilal/normal/pay_report.php; die genaue Auswirkung der Manipulation ist in der Quelle nicht näher beschrieben. CVSS-Basiswert: 7.3 (Hoch); der Vektor beschreibt eine aus dem Netzwerk ohne Nutzerinteraktion ausnutzbare Lücke mit jeweils geringer Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine aktive Ausnutzung laut CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht dokumentiert; eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Thumbor ist ein quelloffener Foto-Thumbnail-Dienst von globo.com. Laut NVD übergibt der Filter filters:convolution(<matrix>, <columns>, <should_normalize>) vor Version 7.8.0 den nutzergesteuerten Wert <columns> ungeprüft weiter. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In Gerapy bis einschliesslich Version 0.9.13 besteht eine Schwachstelle in einer unbekannten Funktion der Datei gerapy/server/core/views.py, die zur Komponente Project Upload Endpoint gehört. Durch Manipulation dieses Endpunkts lässt sich die Schwachstelle laut Quelle über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch).

In JeecgBoot 3.9.0 und 3.9.1 betrifft eine Schwachstelle eine unbekannte Funktion im Bereich jeecg-boot/jeecg-module-system/jeecg-system-biz. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Herstellerhinweise beachten und ein Update einspielen, sobald verfügbar.

In sfturing hosp_order (bis Version 627f426331da8086ce8fff2017d65b1ddef384f8) wurde eine Schwachstelle in einer unbekannten Funktion einer Datei unterhalb von ssm_pro/src/main/java/cn/sfturing/web/ identifiziert. CVSS-Basiswert: 7.3 (Hoch).

In DTStack Taier bis Version 1.4.0 besteht eine Schwachstelle in der Funktion preHandle des Login-Interceptors (taier-data-develop). Die Schwachstelle lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im API-Controller der Datei hexstrike_server.py von 0x4m4 HexStrike AI (bis Commit d689933ff579d839c676c82b231f8e98326c5f04) besteht laut Quelle eine Schwachstelle in einer nicht näher benannten Funktion. CVSS-Basiswert: 7.3 (Hoch). Der Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L) beschreibt eine ohne Rechte oder Interaktion aus der Ferne ausnutzbare Lücke mit jeweils begrenzten Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

In PowerJob 5.1.0, 5.1.1 und 5.1.2 ist die Funktion GroovyEvaluator.evaluate der Datei /openApi/addWorkflowNode im OpenAPI-Endpunkt betroffen. Eine Manipulation der Eingaben ermöglicht einen aus der Ferne durchführbaren Angriff ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren und den OpenAPI-Endpunkt nicht offen erreichbar machen.

Im Linux-Kernel wurde eine Schwachstelle im WLAN-Stack mac80211 behoben, die die Defragmentierung von Multi-Link-Elementen (MLE) betrifft. Sie tritt auf, wenn ein reconf- oder EPCS-Multi-Link-Element in einem nicht übertragenen Profil enthalten ist. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: aktuelle Kernel-Updates einspielen.

In Trippo ResponsiveFilemanager bis Version 9.14.0 besteht laut NVD eine Schwachstelle in einer nicht näher benannten Funktion der Datei filemanager/dialog.php. Die genaue Art der Manipulation ist in den verfügbaren Quelldaten nicht vollständig beschrieben. CVSS-Basiswert: 7.3 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Betroffen sind laut Zuordnung Produkte von Element (Matrix.org) und PHP.

Im Yealink SIP-T46U (Firmware 108.87.50.1) wurde eine Schwachstelle in der Funktion StartReportInformation der Datei /api/inner/beforewifitest im Web-FastCGI-Dienst festgestellt. CVSS-Basiswert: 8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.