Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 18

In der Komponente Internal Operations des Produkts Oracle E-Business Intelligence innerhalb der Oracle E-Business Suite besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut CVSS-Vektor kann ein entfernter Angreifer ohne vorherige Authentifizierung die Lücke über das Netzwerk ausnutzen, wobei eine Nutzerinteraktion erforderlich ist. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Oracle Application Object Library, einem Bestandteil von Oracle E-Business Suite, besteht laut NVD eine Schwachstelle in der Komponente Core. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15; die Lücke ist leicht ausnutzbar. Laut CVSS-Vektor ist sie über das Netzwerk mit niedrigen Privilegien und ohne Benutzerinteraktion ausnutzbar und wirkt sich begrenzt auf Vertraulichkeit und Integrität aus. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Im OIDC-Token-Introspection-Endpunkt der keycloak-services-Komponente von Keycloak, einer quelloffenen Identity- und Access-Management-Lösung zur Absicherung moderner Anwendungen, wurde eine Schwachstelle festgestellt. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

Laut Quelle betrifft eine Schwachstelle die JDBC-Komponente des Oracle Database Server. Betroffen sind laut Quelle die unterstützten Versionen 19.3–19.31, 21.3–21.22 sowie 23.4.0–23.26.2. Die Lücke ist über das Netzwerk ohne Authentifizierung, aber mit erforderlicher Benutzerinteraktion ausnutzbar (AV:N/AC:L/PR:N/UI:R) mit hoher Auswirkung auf die Integrität (I:H). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der Oracle TimesTen In-Memory Database (Komponente Kubernetes Operator) besteht eine laut Quelle leicht auszunutzende Schwachstelle. Betroffen ist die Version 26.1.1.1.0. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Komponente Internal Operations des Produkts Oracle Contracts Integration der Oracle E-Business Suite besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut Quellbeschreibung ist die Schwachstelle schwer auszunutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Komponente RDBMS des Oracle Database Server besteht eine leicht ausnutzbare Schwachstelle, die laut Quelle einem nicht authentifizierten Angreifer offensteht; betroffen sind die Versionen 19.3 bis 19.31, 21.3 bis 21.22 und 23.4.0 bis 23.26.2. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Im Produkt Oracle Contracts Integration der Oracle E-Business Suite (Komponente: Internal Operations) besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle betrifft die Komponente Security im Produkt PeopleSoft Enterprise HCM Human Resources von Oracle PeopleSoft. Betroffen ist die unterstützte Version 9.2. Die Lücke ist laut Quelle schwer auszunutzen; der Angriff erfolgt über das Netzwerk mit niedrigen Berechtigungen und kann bei Erfolg Vertraulichkeit und Integrität beeinträchtigen. CVSS-Basiswert: 6.8 (Mittel).

In der keycloak-services-Bibliothek, der Kernkomponente der Identitäts- und Zugriffsverwaltung Keycloak, wurde ein Fehler im role-users-Endpoint gefunden. Laut CVSS-Vektor ist der Angriff über das Netzwerk mit niedrigen Rechten und ohne Benutzerinteraktion möglich und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: bereitgestellte Aktualisierungen einspielen.

Eine Schwachstelle im Produkt Oracle JDeveloper von Oracle Fusion Middleware (Komponente: ADF Faces) betrifft die Versionen 12.2.1.4.0 und 14.1.2.0.0. Die Lücke ist laut Quelle schwer ausnutzbar. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

In Oracle PeopleSoft Enterprise FIN eSettlements (Komponente eSettlements) besteht eine laut Quelle schwer auszunutzende Schwachstelle. Betroffen ist die Version 9.2. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle im Produkt PeopleSoft Enterprise FIN Grants von Oracle PeopleSoft (Komponente: Grants) betrifft die unterstützte Version 9.2. Die Lücke ist laut Quelle schwer ausnutzbar und erlaubt Angriffe über das Netzwerk durch einen nicht authentifizierten Angreifer. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das im Rahmen des Oracle Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

Das WordPress-Plugin Kadence Blocks – Page Builder Toolkit for Gutenberg Editor ist über den Inner-Image-Content des Identity Blocks für Stored Cross-Site Scripting anfällig. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität und niedrigen Rechten ausnutzbar, ohne dass eine Nutzerinteraktion nötig ist; der Scope ändert sich, Vertraulichkeit und Integrität sind jeweils gering betroffen. CVSS-Basiswert: 6.4 (Mittel).

In livebook-dev/livebook besteht laut NVD eine Cross-Site-Request-Forgery-Schwachstelle (CSRF), die es einem Angreifer erlaubt, die Browser-Sitzung eines Opfers unter der eigenen Livebook-Teams-Identität des Angreifers zu authentifizieren; weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Keycloak, einer Identity- und Access-Management-Lösung, wurde eine Schwachstelle in der Auswertung von Gruppenrichtlinien festgestellt. Ist eine Gruppenrichtlinie so konfiguriert, dass sie Berechtigungen auf untergeordnete (Kind-)Gruppen ausweitet, wertet das System diese Berechtigungen fehlerhaft aus. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle in der Komponente Global Payroll for Mexico des Produkts PeopleSoft Enterprise HCM Global Payroll Mexico (Oracle PeopleSoft) betrifft laut Quelle die Version 9.2. Der Angriff erfolgt über das Netzwerk unter erschwerten Bedingungen und wirkt sich auf die Integrität aus (Vektor AV:N/AC:H/PR:L, I:H). CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Schwachstelle im USB-Type-C-Port-Manager (tcpm) behoben. In den Discover-Identity-ACK-Handlern wurde die von einem Gerät übergebene VDO-Anzahl nicht ordnungsgemäss validiert. Der Fix validiert den VDO-Count nun korrekt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ubuntu hat den Fehler in den Security Notices USN-8593-1 und USN-8603-1 adressiert. Empfohlene Massnahme: die vom Distributor bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle im USB-Treiber usbio behoben: usbio_bulk_msg() begrenzt die Bulk-IN-Antwortlänge nun auf die tatsächlich empfangene Übertragung, statt die vom Gerät gemeldete Länge ungeprüft zu übernehmen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den vom Hersteller bereitgestellten Kernel-Fix einspielen.

Die stille Just-in-Time-(JIT)-Provisionierung in Implementierungen föderierter Authentifizierung trennt Benutzerrollen bei der Kontoerstellung nicht korrekt, wenn ein föderierter Benutzer denselben Benutzernamen wie ein bestehender Benutzer verwendet. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das OIDC-Authentifizierungs-Plugin von MISP verknüpfte eine OIDC-Identität anhand des E-Mail-Claims automatisch mit einem bestehenden lokalen Benutzerkonto, wenn für dieses Konto kein sub-Wert gespeichert war. Unter unsicheren Voraussetzungen kann dies zur unberechtigten Übernahme von Konten führen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: ein Sicherheitsupdate einspielen, sobald verfügbar.

Eine leicht ausnutzbare Schwachstelle betrifft die Komponente AOL Generic Loader im Produkt Oracle Application Object Library der Oracle E-Business Suite. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut CVSS-Vektor ist der Angriff lokal mit hohen Berechtigungen möglich und kann bei Erfolg Vertraulichkeit, Integrität und Verfügbarkeit stark beeinträchtigen. CVSS-Basiswert: 6.7 (Mittel).

Im Linux-Kernel wurde ein PID-Refcount-Leck im Fehlerpfad von do_cpu_nanosleep() (posix-cpu-timers) behoben. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

Im Produkt Oracle TimesTen In-Memory Database (Komponente ttcserver) besteht laut NVD eine Schwachstelle. Betroffen ist die unterstützte Version 26.1.1.1.0. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor erfolgt der Angriff aus dem angrenzenden Netzwerk ohne Berechtigungen und betrifft ausschliesslich die Verfügbarkeit. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Im Linux-Kernel wurde eine Schwachstelle behoben, bei der es beim Offlining einer CPU zu einem Out-of-Bounds-Zugriff in der resctrl-Komponente kommen konnte, wenn SNC (Sub-NUMA Clustering) aktiviert ist. Betroffen sind Produkte, die auf dem Linux-Kernel aufsetzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Kernel-Aktualisierungen einspielen, sobald verfügbar.

Betroffen sind IBM Verify Identity Access 11.0 bis 11.0.2, IBM Security Verify Access 10.0 bis 10.0.9.1 sowie die zugehörigen Container-Varianten. Ein authentifizierter Angreifer kann die Integrität des Systems über das Netzwerk beeinträchtigen. CVSS-Basiswert: 6.5 (Mittel), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Laut NVD kann ein authentifizierter Angreifer einen Disposition-Frame mit übergrossen oder ungültigen Bereichsangaben (Ranges) erstellen. Eine naive Verarbeitung dieser Ranges führt zu übermässigem CPU-Verbrauch und kann einen Denial-of-Service-Zustand auslösen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Ein authentifizierter Nutzer kann auf einem MongoDB-Server übermässigen CPU-Verbrauch oder Out-of-Memory-Zustände auslösen, indem er eine präparierte Queryable-Encryption-find-Anfrage mit einem nicht validierten Feld sendet. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von MongoDB bereitgestellten Sicherheitsupdates einspielen.

Eine Schwachstelle in der Komponente Authentication Engine des Oracle Access Manager (Oracle Fusion Middleware) betrifft laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.1.0 und ist leicht ausnutzbar. Der Angriff erfolgt über das Netzwerk, erfordert eine Nutzeraktion und wirkt sich mit begrenzten Auswirkungen auf Vertraulichkeit und Integrität aus (Vektor AV:N/AC:L/PR:N/UI:R/S:C). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle betrifft Oracle Coherence aus Oracle Fusion Middleware (Komponente: Core) in den Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Laut Quelle ist die Lücke einfach ausnutzbar. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Laut NVD besteht eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware in der Komponente Core. Betroffen sind die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke ist schwer auszunutzen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle im sched_ext-Subsystem behoben: Eine WARN-Meldung wird ausgelöst, wenn der User-Manager von systemd bestimmte cgroup-Attribute schreibt, während cgrp_moving_from in scx_cgroup_move_task() NULL ist. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die Kernel-Aktualisierung der jeweiligen Distribution einspielen.

Die Software übernimmt Benutzereingaben aus einem URL-Parameter ohne ausreichende Ausgabe-Kodierung, bevor sie an den Browser des Nutzers zurückgegeben werden. Dadurch kann ein Angreifer schädliche Skripte einschleusen (reflektiertes Cross-Site-Scripting). Die Kennung ist zusätzlich im Rahmen der Oracle Critical Patch Updates (CPU/EBS/PeopleSoft/WebLogic) gelistet. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In den internen Webseiten-Verifizierungsroutinen der Idira-Identity-Browser-Erweiterung (Builds für Chrome, Firefox und Edge) vor Version 26.8.1 besteht ein Fehler bei der Origin-Validierung, den ein authentifizierter Nutzer ausnutzen kann (weitere Details in der Quelle abgeschnitten). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 26.8.1 oder neuer aktualisieren.

Im Linux-Kernel wurde im Modul dma-buf/udmabuf eine redundante CPU-Synchronisation übersprungen, um eine Cacheline-EEXIST-Warnung zu beheben. Betroffen ist laut Quelle der Importvorgang bei aktivierter Option CONFIG_DMA_API_DEBUG_SG; die Beschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Im powerpc-Treiber hv-gpci des Linux-Kernels verwenden vier sysfs-show()-Callbacks get_cpu_var(hv_gpci_reqb), geben die zugehoerige Per-CPU-Variable in den Fehlerpfaden aber nicht wieder frei, wodurch der Preempt-Count leckt. Die Schwachstelle wurde im Linux-Kernel behoben; Ubuntu hat dazu Kernel-Sicherheitsupdates veröffentlicht (USN-8593-1 sowie USN-8603-1 für Azure-Kernel). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Ubuntu bereitgestellten Kernel-Updates einspielen.

Im Produkt Oracle Agile PLM von Oracle Supply Chain (Komponente Security) besteht laut NVD eine Schwachstelle. Betroffen ist die unterstützte Version 9.3.6. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor kann ein lokal angemeldeter Angreifer mit niedrigen Berechtigungen die Vertraulichkeit beeinträchtigen, wobei sich die Auswirkung über die Systemgrenze hinaus erstreckt. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

In der Version-Komponente der Elixir-Standardbibliothek erlaubt eine unkontrollierte Ressourcennutzung einem Angreifer, der eine Versionszeichenkette kontrolliert, einen Denial of Service durch CPU- und Speichererschöpfung auszulösen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Komponente JDBC des Oracle Database Server besteht eine schwer ausnutzbare Schwachstelle; betroffen sind laut Quelle die Versionen 19.3 bis 19.31, 21.3 bis 21.22 und 23.4.0 bis 23.26.2. CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Laut NVD besteht in der Komponente Core der Oracle Application Object Library (Oracle E-Business Suite) eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Die Lücke ist mit lokalem Zugriff und niedrigen Rechten leicht ausnutzbar, wirkt über eine Vertrauensgrenze hinweg (Scope Changed) und betrifft die Vertraulichkeit. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle im Produkt PeopleSoft Enterprise PeopleTools von Oracle PeopleSoft (Komponente: Panel Processor) betrifft die Version 8.62. Die Lücke ist leicht auszunutzen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In PeopleSoft Enterprise PeopleTools, einem Produkt von Oracle PeopleSoft, besteht laut NVD eine Schwachstelle in der Komponente Security. Betroffen sind die unterstützten Versionen 8.61 und 8.62; die Lücke ist leicht ausnutzbar. Laut CVSS-Vektor ist sie über das Netzwerk mit niedrigen Privilegien ausnutzbar, erfordert Benutzerinteraktion und wirkt sich begrenzt auf Vertraulichkeit und Integrität aus. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

In der Komponente Security des Produkts PeopleSoft Enterprise PeopleTools von Oracle PeopleSoft besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die Versionen 8.61 und 8.62. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle in der Core-Komponente des Produkts Oracle Coherence (Oracle Fusion Middleware) betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0 und ist leicht ausnutzbar. Die Ausnutzung erfolgt lokal mit erhöhten Rechten und wirkt sich auf die Vertraulichkeit aus (Vektor AV:L/AC:L/PR:H/S:C, C:H). CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Produkt Oracle JDeveloper der Oracle Fusion Middleware (Komponente ADF Faces) besteht laut NVD eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0.0. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor kann ein lokal angemeldeter Angreifer mit niedrigen Berechtigungen die Vertraulichkeit beeinträchtigen, wobei sich die Auswirkung über die Systemgrenze hinaus erstreckt. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Eine Schwachstelle betrifft das Produkt PeopleSoft Enterprise CS Financial Aid von Oracle PeopleSoft (Komponente: FM Need Analysis Calculator) in Version 9.2.38. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der Komponente Internal Operations des Produkts Oracle Contracts Integration der Oracle E-Business Suite besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut Quellbeschreibung ist die Lücke schwer ausnutzbar. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Produkt Oracle Contracts Integration der Oracle E-Business Suite (Komponente: Internal Operations) besteht eine schwer ausnutzbare Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 4.2 (Mittel); die Lücke ist ohne Authentifizierung über das Netzwerk bei hoher Angriffskomplexität ausnutzbar und beeinträchtigt Vertraulichkeit und Integrität in geringem Umfang. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der SAML-Broker-Komponente von Keycloak, einer Identity-and-Access-Management-Lösung, besteht ein Fehler: Bei Konfiguration als SAML-Broker über den IdP-Initiated-Flow setzt Keycloak eine Kontrolle im Zusammenhang mit einem einmalig gültigen Token nicht durch; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 6.4 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet und nicht mit Ransomware-Kampagnen in Verbindung gebracht. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.