Progress OpenEdge

Im Customer Managed ShareFile Storage Zones Controller (SZC) von Progress können nicht authentifizierte Angreifer auf eingeschränkte Konfigurationsseiten zugreifen, was zu Änderungen an der Systemkonfiguration und potenzieller Remotecodeausführung führen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 31.2 %.

Ein authentifizierter Benutzer kann eine schädliche Datei auf den Server hochladen und ausführen, was zu einer Remotecodeausführung führt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Im ODBC App Server von Progress MarkLogic Server vor den Versionen 11.3.6 und 12.0.3 besteht laut NVD eine Authentifizierungsumgehung: Ein nicht authentifizierter, entfernter Angreifer kann die Passwortprüfung umgehen. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt nicht vor.

Im HTTP App Server von Progress MarkLogic Server vor Version 11.3.6 beziehungsweise 12.0.3 besteht laut NVD eine HTTP-Request-Smuggling-Schwachstelle. Ein entfernter Angreifer kann dadurch laut Beschreibung Authentifizierungs- und Autorisierungsprüfungen umgehen; die Quellenbeschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 9.1 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

In Progress Sitefinity 15.4.8623 (vor Version 15.4.8630) ermöglicht eine fehlerhafte Zugriffskontrolle in den Web Services einem nicht authentifizierten Angreifer aus der Ferne, auf eigentlich eingeschränkte Inhalte zuzugreifen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 15.4.8630 aktualisieren.

In den Web Services von Progress Sitefinity (Versionen 14.0.7700 bis 15.2.8441) besteht eine kritische Schwachstelle durch unzureichend geschützte Zugangsdaten (CWE-522). CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Query Console von Progress MarkLogic Server vor 11.3.6 und 12.0.3 besteht laut NVD eine Cross-Site-Scripting-Schwachstelle. Ein entfernter Angreifer kann einen authentifizierten Administrator auf eine präparierte URL locken; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 9.3 (Kritisch).

In den SQL-, SPARQL- und Optic-REST-Abfrageschnittstellen von Progress MarkLogic Server vor 11.3.6 und 12.0.3 besteht laut NVD eine unzureichende Rechteverwaltung. Ein authentifizierter Nutzer mit geringen Rechten kann die Lücke ausnutzen; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 9.9 (Kritisch).

In der REST-API-Patch-Operation für Dokumente von Progress MarkLogic Server vor Version 11.3.6 beziehungsweise 12.0.3 besteht laut NVD eine fehlerhafte Rechteverwaltung. Ein authentifizierter Benutzer mit einer niedrig privilegierten REST-Rolle kann diese ausnutzen; die vorliegende Beschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 9.9 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Eine fehlerhafte Rechteverwaltung in der Hadoop-Integration von Progress MarkLogic Server vor Version 11.3.6 sowie 12.0.3 erlaubt einem authentifizierten Nutzer mit niedrig privilegierter Hadoop-Rolle die Ausweitung seiner Rechte. CVSS-Basiswert: 9.9 (Kritisch). Laut Zuordnung sind Progress MoveIt und Progress OpenEdge betroffen.

Im SAML-Authentifizierungsmodul von Progress MarkLogic Server vor 11.3.6 und 12.0.3 wird laut NVD die kryptografische Signatur unzureichend geprüft. Ein nicht authentifizierter, entfernter Angreifer kann dies ausnutzen; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 9.1 (Kritisch).

In Progress MOVEit Automation besteht eine kritische Schwachstelle, die eine Authentifizierungsumgehung durch eine primäre Schwäche ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

HireFlow ist ein webbasiertes System zur Verwaltung von Bewerbungsgesprächen (Kandidaten, Terminplanung, Verfolgung des Einstellungsprozesses). In Version 1.2 und früher weist die Datei app.py einen fest kodierten Flask-Secret-Key zu, der so für alle Installationen identisch und öffentlich bekannt ist. Ein solcher statischer Schlüssel erlaubt es Angreifern, Sitzungsdaten zu fälschen und sich unbefugten Zugriff zu verschaffen. CVSS-Basiswert: 10 (Kritisch).

In WhatsUp Gold in Versionen vor 2024.0.2 kann ein nicht authentifizierter Angreifer die LDAP-Einstellungen konfigurieren. CVSS-Basiswert: 9.4 (Kritisch). Empfohlene Massnahme: Aktualisierung auf WhatsUp Gold 2024.0.2 oder neuer.

In WhatsUp Gold in Versionen vor 2024.0.2 kann ein Angreifer über die öffentliche API Zugriff auf den WhatsUp-Gold-Server erlangen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf WhatsUp Gold 2024.0.2 oder neuer.

In WhatsUp Gold Versionen vor 2024.0.1 kann ein entfernter, nicht authentifizierter Angreifer diese Schwachstelle ausnutzen, um Code im Kontext des Dienstkontos auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf WhatsUp Gold 2024.0.1.

In WhatsUp Gold vor Version 2024.0.1 kann ein nicht authentifizierter Angreifer aus der Ferne über NmAPI.exe einen Registrierungswert im Pfad HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\ anlegen oder ändern. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Version 2024.0.1 oder neuer aktualisieren.

Eine Authentifizierungsumgehung in WhatsUp Gold in Versionen vor 2024.0.0, die es einem Angreifer ermöglicht, verschlüsselte Benutzeranmeldedaten zu erlangen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf die bereitgestellte fehlerbereinigte Version 2024.0.0 aktualisieren.

In Progress Telerik Report Server vor 2024 Q3 (10.2.24.924) ist über Object Injection infolge einer unsicheren Typauflösung Remote Code Execution möglich. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf 2024 Q3 (10.2.24.924) oder neuer.

In WhatsUp Gold in Versionen vor 2024.0.0 erlaubt eine SQL-Injection einem nicht authentifizierten Angreifer, das verschlüsselte Passwort des Benutzers abzurufen, sofern die Anwendung mit nur einem einzigen Benutzer konfiguriert ist. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf WhatsUp Gold 2024.0.0 oder neuer.

In Progress Telerik Report Server vor 2024 Q2 (10.1.24.709) ist über eine unsichere Deserialisierung ein Angriff mit Remote Code Execution möglich. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 2024 Q2 (10.1.24.709) oder neuer.

In WhatsUp Gold in Versionen vor 2023.1.3 besteht eine Schwachstelle zur Remotecodeausführung. Sie erlaubt einem nicht authentifizierten Angreifer, über NmApi.exe Code als Dienstkonto auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf WhatsUp Gold 2023.1.3 oder neuer.

In Progress WhatsUp Gold Versionen vor 2023.1.3 besteht eine nicht authentifizierte Schwachstelle zur Remote-Code-Ausführung. Der betroffene CommunityController erlaubt die Ausführung von Befehlen mit den Rechten des iisapppool\nmconsole-Kontos. Da kein gültiger Zugang nötig ist, können Angreifer aus der Ferne beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 2023.1.3.

In Progress MOVEit Gateway besteht eine Schwachstelle durch unzureichende Authentifizierung in den SFTP-Modulen, die einen Authentifizierungs-Bypass ermöglicht. Betroffen ist MOVEit Gateway in Version 2024.0.0. CVSS-Basiswert: 9.1 (Kritisch).

In Progress MOVEit Transfer (SFTP-Modul) besteht eine Schwachstelle durch fehlerhafte Authentifizierung, die zu einer Authentifizierungsumgehung führen kann. Betroffen sind die Versionen ab 2023.0.0 vor 2023.0.11, ab 2023.1.0 vor 2023.1.6 und ab 2024.0.0 vor 2024.0.2. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 2023.0.11, 2023.1.6 bzw. 2024.0.2 oder neuer.

In Flowmon vor den Versionen 11.1.14 und 12.3.5 wurde eine Schwachstelle für Betriebssystem-Befehlsinjektion festgestellt. Ein nicht authentifizierter Benutzer kann über die Flowmon-Management-Schnittstelle in das System eindringen und beliebige Systembefehle ausführen. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 11.1.14 bzw. 12.3.5 oder neuer.

In Progress Telerik Report Server vor Version 2024 Q1 (10.0.24.130) ist über eine unsichere Deserialisierung eine Remote-Code-Ausführung möglich. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Update auf Version 2024 Q1 (10.0.24.130) oder neuer.

In Progress OpenEdge Authentication Gateway und AdminServer vor 11.7.19, 12.2.14 und 12.8.1 besteht eine Schwachstelle zur Authentifizierungsumgehung. Durch unerwartete Inhalte in den Anmeldedaten kann die Prüfung von Benutzername und Passwort umgangen werden, was unbefugten Zugriff ohne gültige Authentifizierung ermöglicht. CVSS-Basiswert: 10.0 (Kritisch). Empfohlene Massnahme: auf die korrigierten OpenEdge-Versionen aktualisieren.

Der Progress Application Server (PAS) für OpenEdge ist in den Versionen 11.7 vor 11.7.18, 12.2 vor 12.2.13 sowie in Innovation-Releases vor 12.8.0 betroffen. Ein Angreifer kann eine Anfrage für einen WEB-Transport so formulieren, dass unbeabsichtigte Datei-Uploads in ein Serververzeichnis des PASOE-Systems möglich sind. Enthält der Upload eine ausnutzbare Nutzlast, kann daraus ein grösser angelegter Angriff entstehen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Im Modul Dynamic Progress Bar (web_progress) besteht in den Versionen 11.0 bis 16.0.2.1 eine SQL-Injection-Schwachstelle. Ein entfernter Angreifer kann sie über den Parameter recency in der Komponente models/web_progress.py ausnutzen und dadurch Rechte ausweiten. Der CVSS-Basiswert liegt bei 9.8 (Kritisch).

In WS_FTP Server vor den Versionen 8.7.6 und 8.8.4 wurde eine Schwachstelle durch uneingeschränkten Datei-Upload festgestellt. Ein authentifizierter Ad-Hoc-Transfer-Benutzer kann einen API-Aufruf erstellen, der es ihm ermöglicht, eine Datei an einen bestimmten Ort auf dem darunterliegenden Betriebssystem des WS_FTP-Servers hochzuladen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf 8.7.6 bzw. 8.8.4.

In WS_FTP Server vor den Versionen 8.7.4 und 8.8.2 wurde eine Directory-Traversal-Schwachstelle entdeckt. Ein Angreifer kann damit Dateioperationen (Löschen, Umbenennen, rmdir, mkdir) auf Dateien und Ordner ausserhalb des autorisierten WS_FTP-Pfads sowie auf dem darunterliegenden Betriebssystem ausführen. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Update auf WS_FTP Server 8.7.4 bzw. 8.8.2.

In der API von Progress LoadMaster besteht eine OS-Command-Injection-Schwachstelle. Ein authentifizierter Angreifer mit der Berechtigung User Administration kann durch unzureichend gefilterte Eingaben in den API-Parametern beliebige Befehle auf der LoadMaster-Appliance ausführen. CVSS-Basiswert: 8.4 (Hoch).

Eine Schwachstelle in mehreren Progress-Software-Produkten (LoadMaster, ECS Connection Manager, Object Scale Connection Manager, MOVEit WAF) erlaubt authentifizierten Angreifern mit hohen Privilegien die Ausführung von Betriebssystembefehlen (OS Command Injection). CVSS-Basiswert: 8.4 (Hoch).

In Progress Software LoadMaster, ECS Connection Manager, Object Scale Connection Manager und MOVEit WAF besteht laut NVD eine OS-Command-Injection-Schwachstelle. Ein authentifizierter Angreifer mit hohen Rechten im angrenzenden Netzwerk kann die Lücke ohne Nutzerinteraktion ausnutzen; die CVSS-Vektorwerte weisen auf volle Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit sowie einen Scope-Wechsel hin. CVSS-Basiswert: 8.4 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Progress Software LoadMaster, ECS Connection Manager, Object Scale Connection Manager und MOVEit WAF sind laut NVD von einer OS-Command-Injection-Schwachstelle betroffen. Ein authentifizierter Angreifer mit hohen Rechten kann dadurch Betriebssystembefehle einschleusen. CVSS-Basiswert: 8.4 (Hoch).

In Progress Telerik UI for AJAX vor Version 2026.2.708 besteht eine Path-Traversal-Schwachstelle im dateibasierten Persistenz-Speicheranbieter. Sie kann ausgenutzt werden, wenn der Speicherschlüssel aus benutzerkontrollierten Eingaben abgeleitet wird. CVSS-Basiswert: 8.1 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf die korrigierte Version aktualisieren.

In den Web Services von Progress Sitefinity (Versionen 14.1.x bis 15.3.x) besteht eine Schwachstelle durch unsachgemässe Eingabevalidierung (CWE-20). CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Progress Telerik UI for AJAX vor Version v2026.2.708 erlaubt eine Deserialisierungs-Schwachstelle in den Persistenz-Utilities die unsichere Instanziierung von Typen aus einem durch Angreifer beeinflussten persistierten Zustand. Die Ausnutzung erfolgt über das Netzwerk, ist laut Vektor jedoch nur schwer durchführbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version v2026.2.708 oder neuer.

In Progress Telerik UI for AJAX vor Version 2026.2.708 deserialisieren Anwendungen, die den cookie-basierten Speicher in RadPersistenceManager oder RadDockLayout nutzen, von Angreifern kontrollierte Cookie-Inhalte. Dadurch wird laut Quellbeschreibung eine unautorisierte Ausnutzung ermöglicht. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf eine gepatchte Version aktualisieren.