Ping Identity/OneLogin Seite 4

Für Apache Log4j wurde eine Sicherheitslücke (CVE-2017-5645) gemeldet, die von der Apache Software Foundation in ihren Sicherheitshinweisen geführt wird. Laut Quellenlage sind neben Apache Log4j auch Produkte zahlreicher weiterer Hersteller betroffen, darunter NetApp, Rockwell Automation, Oracle und Microsoft. Ausnutzungswahrscheinlichkeit (EPSS): 89.8 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2019-11358) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 86.8 %.

CVE-2022-22972 betrifft Omnissa-Produkte (Workspace ONE, Horizon) und wird im Omnissa Security Response aufgeführt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 56.3 %.

Für Produkte von Omnissa (Workspace ONE, Horizon) wurde eine Sicherheitslücke (CVE-2022-22956) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 49.5 %.

Für den überwachten Produktbereich Omnissa (Workspace ONE, Horizon) ist eine Schwachstelle ausgewiesen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 24.3 %. Der Hersteller führt seine Hinweise im Security-Response-Portal.

Für Omnissa Workspace ONE ist unter dieser Kennung eine Schwachstelle erfasst, die im Sicherheitsbereich von Omnissa dokumentiert ist. Weitere betroffene Hersteller sind Oracle, Ping Identity/OneLogin und Rockwell Automation. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 23.9 %.

Für Omnissa (Workspace ONE, Horizon) und weitere betroffene Produkte (Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin, Rockwell Automation) wurde eine Sicherheitslücke (CVE-2022-22955) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 7.8 %.

Für Omnissa Workspace ONE/Horizon wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Oracle CPU/EBS/PeopleSoft/WebLogic, Ping Identity/OneLogin sowie Rockwell Automation) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Omnissa (Workspace ONE, Horizon) und weitere betroffene Produkte (Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin, Microsoft Windows) wurde eine Sicherheitslücke (CVE-2022-31659) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.9 %.

Für Omnissa Workspace ONE/Horizon sowie die nachgelagerten Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows wurde eine Sicherheitslücke (CVE-2022-31665) gemeldet, dokumentiert im Omnissa Security Response Center. Ausnutzungswahrscheinlichkeit (EPSS): 2.4 %.

Für Omnissa Workspace ONE/Horizon sowie die nachgelagerten Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic) und Ping Identity/OneLogin wurde eine Sicherheitslücke (CVE-2022-22973) gemeldet, dokumentiert im Omnissa Security Response Center. Ausnutzungswahrscheinlichkeit (EPSS): 2.4 %.

Omnissa führt CVE-2022-31658 in den Sicherheitshinweisen für Workspace ONE und Horizon. Betroffen ist laut Quelldaten auch Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 2.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Omnissa Workspace ONE/Horizon wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin sowie Rockwell Automation) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Omnissa Workspace ONE/Horizon sowie die nachgelagerten Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows wurde eine Sicherheitslücke (CVE-2022-31657) gemeldet, dokumentiert im Omnissa Security Response Center. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

Omnissa führt CVE-2022-31662 in den Sicherheitshinweisen für Workspace ONE und Horizon. Betroffen ist laut Quelldaten auch Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Diese Schwachstelle ist laut dem Omnissa Security Response Center in Workspace ONE bzw. Horizon dokumentiert und wird zusätzlich von Oracle (CPU/EBS/PeopleSoft/WebLogic) sowie Ping Identity/OneLogin geführt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Für Omnissa Workspace ONE/Horizon wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Oracle CPU/EBS/PeopleSoft/WebLogic, Ping Identity/OneLogin sowie Microsoft Windows) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Omnissa (Workspace ONE, Horizon) und weitere betroffene Produkte (Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin, Microsoft Windows) wurde eine Sicherheitslücke (CVE-2022-31700) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

Diese Schwachstelle ist laut Omnissa in Workspace ONE/Horizon dokumentiert; auch Oracle (CPU/EBS/PeopleSoft/WebLogic) und Ping Identity/OneLogin führen sie in ihren jeweiligen Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Omnissa führt CVE-2022-22961 in den Sicherheitshinweisen für Workspace ONE und Horizon. Betroffen ist laut Quelldaten auch Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Rockwell Automation. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In den Azure Identity Libraries und der Microsoft Authentication Library (MSAL) besteht eine Schwachstelle zur Rechteausweitung. Ein lokaler, angemeldeter Angreifer kann darüber die Vertraulichkeit stark beeinträchtigen. CVSS-Basiswert: 5.5 (Mittel), Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Für Omnissa (Workspace ONE, Horizon) und weitere betroffene Produkte (Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin, Microsoft Windows) wurde eine Sicherheitslücke (CVE-2022-31663) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Für Omnissa Workspace ONE/Horizon wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Oracle CPU/EBS/PeopleSoft/WebLogic sowie Ping Identity/OneLogin) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Omnissa Workspace ONE/Horizon sowie die nachgelagerten Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Rockwell Automation wurde eine Sicherheitslücke (CVE-2022-22959) gemeldet, dokumentiert im Omnissa Security Response Center. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Eine Schwachstelle in Cisco Identity Services Engine (ISE) und Cisco ISE Passive Identity Connector (ISE-PIC) erlaubt einem authentifizierten, entfernten Angreifer Path-Traversal-Angriffe auf das zugrunde liegende Dateisystem. Die Ausnutzung setzt hohe Rechte voraus (PR:H) und wirkt sich vor allem auf die Vertraulichkeit aus. CVSS-Basiswert: 5.5 (Mittel).

authentik ist ein quelloffener Identity-Provider. In Versionen vor 2025.12.5 sowie in 2026.2.0-rc1 bis 2026.2.2 können authentifizierte Nutzer ohne Administratorrechte, die über mindestens ein OAuth2-Access-Token verfügen, das Client-Secret auslesen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf authentik 2025.12.5 oder neuer bzw. auf eine Version oberhalb von 2026.2.2 aktualisieren.

In der keycloak-services-Bibliothek, der Kernkomponente der Identitäts- und Zugriffsverwaltung Keycloak, wurde ein Fehler im role-users-Endpoint gefunden. Laut CVSS-Vektor ist der Angriff über das Netzwerk mit niedrigen Rechten und ohne Benutzerinteraktion möglich und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: bereitgestellte Aktualisierungen einspielen.

Livebook (livebook-dev) versagt laut NVD nicht sicher bei der Identitätsprüfung (Fail-Open): Ein unauthentifizierter Netzwerk-Client kann dadurch vollen Zugriff auf einen Livebook-Server erhalten, der die Identität eigentlich erzwingen soll; die Quellbeschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert sowie eine EPSS-Bewertung liegen in den Quelldaten nicht vor.

Für die Produkte Omnissa (Workspace ONE, Horizon), Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows wurde eine Sicherheitslücke (CVE-2023-20884) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

ZITADEL ist eine Open-Source-Plattform für Identitätsmanagement. In den Versionen 2.43.0 bis 2.71.19, 3.0.0 bis 3.4.11 sowie 4.0.0 bis 4.15.1 besteht eine Schwachstelle in den Self-Management-API-Pfaden für E-Mail und Telefonnummer. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Für Omnissa Workspace ONE/Horizon sowie die nachgelagerten Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows wurde eine Sicherheitslücke (CVE-2022-31661) gemeldet, dokumentiert im Omnissa Security Response Center. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für Omnissa Workspace ONE/Horizon wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Oracle CPU/EBS/PeopleSoft/WebLogic, Ping Identity/OneLogin sowie Microsoft Windows) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Kanidm, eine Identitätsverwaltungs-Plattform, ist vor Version 1.9.3 anfällig: Eine einzelne unauthentifizierte GET-Anfrage an einen /scim/v1/...-Endpunkt mit einer ?filter=-Abfrage aus einigen tausend verschachtelten Klammern kann die Verarbeitung stark belasten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.9.3 oder neuer aktualisieren.

In der webbasierten Verwaltungsoberfläche der Gastportale von Cisco Identity Services Engine (ISE) ermöglichen mehrere Schwachstellen einem authentifizierten, entfernten Angreifer Cross-Site-Scripting (XSS). CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Mehrere Schwachstellen in der webbasierten Verwaltungsoberfläche der Gast-Portale von Cisco Identity Services Engine (ISE) könnten es einem authentifizierten, entfernten Angreifer erlauben, Cross-Site-Scripting-Angriffe (XSS) durchzuführen. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die von Cisco bereitgestellten Sicherheitsupdates gemäss Advisory einspielen.

IBM Verify Identity Access 11.0 bis 11.0.2, IBM Security Verify Access 10.0 bis 10.0.9.1 sowie die zugehörigen Container-Varianten sind von einer Schwachstelle betroffen. CVSS-Basiswert: 5.3 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Decidim ist ein Framework für partizipative Demokratie. Laut NVD-Beschreibung besteht in den betroffenen Versionen (vor 0.30.9, ab 0.31.0 vor 0.31.5 sowie in 0.32.0.rc1 vor 0.32.0.rc2) ein Fehler in den Verwaltungscontrollern zur Prüfung von Identitätsdokumenten; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. Der CVSS-Vektor weist eine hohe Auswirkung auf die Vertraulichkeit aus (C:H). CVSS-Basiswert: 4.9 (Mittel).

In Node.js wurde eine unvollständige Behebung identifiziert: Die Wiederverwendung von TLS-Sessions im HTTPS-Agent umgeht laut Quelle die Hostname-Prüfung über verschiedene Identity-Policies hinweg. Es handelt sich um einen unvollständigen Fix von CVE-2026-48934. CVSS-Basiswert: 6.3 (Mittel).

In der Komponente End User Self Service des Identity Managers von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Die Software übernimmt Benutzereingaben aus einem URL-Parameter ohne ausreichende Ausgabe-Kodierung, bevor sie an den Browser des Nutzers zurückgegeben werden. Dadurch kann ein Angreifer schädliche Skripte einschleusen (reflektiertes Cross-Site-Scripting). Die Kennung ist zusätzlich im Rahmen der Oracle Critical Patch Updates (CPU/EBS/PeopleSoft/WebLogic) gelistet. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

ZITADEL ist eine quelloffene Identity-Management-Plattform. In den Versionen 4.0.0-rc.1 bis 4.15.1 prüfen die HTTP-Benachrichtigungskanäle, der OIDC-BackChannel-Logout sowie die Abrufe von SAML-Metadaten-URLs die Ziel-URLs nicht konsistent. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin GDPR Framework By Data443 überprüft vor Version 2.4.0 die Autorisierung bzw. die Identität der betroffenen Person beim Erfassen von Cookie-Consent-Entscheidungen und Privacy-Requests nicht ordnungsgemäss. Weitere Details zu den konkreten Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In PingIDM (vormals ForgeRock Identity Management) besteht eine Schwachstelle durch unzureichend granulare Zugriffskontrolle, bei der Administratoren die Zugriffsregeln für Remote Connectors nicht korrekt konfigurieren können. Dadurch lassen sich Zugriffsbeschränkungen nicht wie vorgesehen durchsetzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im OIDC-Token-Introspection-Endpunkt der keycloak-services-Komponente von Keycloak, einer quelloffenen Identity- und Access-Management-Lösung zur Absicherung moderner Anwendungen, wurde eine Schwachstelle festgestellt. CVSS-Basiswert: 6.5 (Mittel).

In Keycloak besteht eine Schwachstelle in der administrativen API zur Verwaltung von Identity Providern und Organisationen. Ein Administrator mit Berechtigung zur Verwaltung von Identity Providern kann die Schwachstelle laut Beschreibung ausnutzen, um über die eigentlich vorgesehene Berechtigung hinauszugehen. CVSS-Basiswert: 5.5 (Mittel), mit hoher Auswirkung auf die Integrität bei geringer Auswirkung auf die Vertraulichkeit.

Bei der Kommunikation zwischen betroffenen TP-Link-Omada-Geräten und den zugehörigen Cloud-Controllern besteht laut NVD eine Schwäche bei der Zertifikatsprüfung. Die Verifikation der Zertifikatsidentität validiert nicht ausreichend, dass ein vorgelegtes Zertifikat tatsächlich zum erwarteten Ziel gehört; die Quellbeschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert und eine EPSS-Bewertung liegen für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Linux-Kernel wurde eine Schwachstelle im USB-Type-C-Port-Manager (tcpm) behoben. In den Discover-Identity-ACK-Handlern wurde die von einem Gerät übergebene VDO-Anzahl nicht ordnungsgemäss validiert. Der Fix validiert den VDO-Count nun korrekt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ubuntu hat den Fehler in den Security Notices USN-8593-1 und USN-8603-1 adressiert. Empfohlene Massnahme: die vom Distributor bereitgestellten Kernel-Updates einspielen.

Das WordPress-Plugin Kadence Blocks – Page Builder Toolkit for Gutenberg Editor ist über den Inner-Image-Content des Identity Blocks für Stored Cross-Site Scripting anfällig. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität und niedrigen Rechten ausnutzbar, ohne dass eine Nutzerinteraktion nötig ist; der Scope ändert sich, Vertraulichkeit und Integrität sind jeweils gering betroffen. CVSS-Basiswert: 6.4 (Mittel).

In livebook-dev/livebook besteht laut NVD eine Cross-Site-Request-Forgery-Schwachstelle (CSRF), die es einem Angreifer erlaubt, die Browser-Sitzung eines Opfers unter der eigenen Livebook-Teams-Identität des Angreifers zu authentifizieren; weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Keycloak, einer Identity- und Access-Management-Lösung, wurde eine Schwachstelle in der Auswertung von Gruppenrichtlinien festgestellt. Ist eine Gruppenrichtlinie so konfiguriert, dass sie Berechtigungen auf untergeordnete (Kind-)Gruppen ausweitet, wertet das System diese Berechtigungen fehlerhaft aus. CVSS-Basiswert: 6.5 (Mittel).