Progress OpenEdge Seite 4

LightFTP 2.3.1 enthält eine Race-Condition-Schwachstelle: Ein entfernter Angreifer kann durch eine neue Verbindung, die den FTP-Kontext einer laufenden ABRT-Bereinigung wiederverwendet, den Server zum Absturz bringen. CVSS-Basiswert: 5.9 (Mittel). Eine Angabe zur Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In Progress Software MOVEit Automation erlaubt eine Schwachstelle durch falsche Standardberechtigungen das Auslesen eingebetteter sensibler Daten. Betroffen sind laut Quelle MOVEit Automation vor 2025.0.11 sowie Versionen ab 2025.1.0 vor einem entsprechenden Fix. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine gepatchte MOVEit-Automation-Version gemäss Progress-Advisory aktualisieren.

In Progress Telerik UI for AJAX vor Version 2026.2.708 ermöglicht eine unzureichende Validierung von Inhalten, die an die PDF-Export-Funktion des RadEditor übergeben werden, einem authentifizierten Angreifer serverseitige Anfragen (Server-Side Request Forgery). Die Auswirkung betrifft laut CVSS-Vektor die Vertraulichkeit. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: Aktualisierung auf Telerik UI for AJAX 2026.2.708 oder neuer.

In Progress Telerik UI for AJAX vor Version 2026.2.708 verarbeitet das interne LayoutBuilder-Steuerelement Client-State-XML, ohne die DTD-Verarbeitung zu deaktivieren. Dadurch können nicht authentifizierte Angreifer laut NVD einen Denial of Service auslösen. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Privilegien und ohne Benutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Verfügbarkeit aus. CVSS-Basiswert: 5.3 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Progress Telerik UI for AJAX 2026.2.708 oder neuer aktualisieren.

In den Custom-Reports-Modulen von Progress MOVEit Transfer besteht eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in der Abfragelogik. Betroffen ist MOVEit Transfer vor 2025.0.7 sowie ab 2025.1.0. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Progress Telerik UI for AJAX vor Version 2026.2.708 ist der Handler ChartImage.axd der veralteten RadChart-Komponente für unauthentifiziertes Lesen und Löschen von Dateien mit Bild-Endung anfällig. Ein nicht authentifizierter Angreifer kann die Lücke über das Netzwerk ausnutzen. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: auf Version 2026.2.708 oder neuer aktualisieren.

Das WordPress-Plugin The Plus Addons for Elementor (Addons, Page Templates, Widgets, Mega Menu, WooCommerce) ist über den Progress-Bar-Bereich anfällig für Stored Cross-Site Scripting. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Im Feed ist die Schwachstelle den überwachten Produktbereichen WordPress (Patchstack), WordPress (Wordfence), WordPress (WPScan), Progress und Progress Software zugeordnet.

Das WordPress-Plugin Essential Addons for Elementor (Popular Elementor Templates & Widgets) ist laut NVD in allen Versionen anfällig für persistentes Cross-Site-Scripting (Stored XSS) über die globalen Farbeinstellungen der Reading-Progress-Funktion. Angreifer mit niedrigen Rechten können darüber Schadskripte hinterlegen, die im Browser weiterer Nutzer ausgeführt werden. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedriger Komplexität und einem Rechtekontext ausnutzbar, mit Auswirkung über die Vertrauensgrenze hinaus. CVSS-Basiswert: 6.4 (Mittel).

Die Schwachstelle CVE-2026-62435 ist im Sicherheitsadvisory-Verzeichnis des Xen Project (Xen Security Advisories, XSA) gelistet und betrifft laut Produktzuordnung Xen-Virtualisierungsprodukte sowie Progress OpenEdge. Laut NVD hängt sie mit der Einführung von Grant Table v2 zusammen. CVSS-Basiswert: 6.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt aus den Quelldaten aktuell nicht vor.

Mit der Einführung von Grant Table v2 in Xen entstand laut NVD-Datensatz eine neue Anforderung, deren genauer Wortlaut in der Quelle abbricht; der Datensatz betrifft mehrere zusammenhängende CVEs. Für CVE-2026-62436 liegt zusätzlich ein Eintrag im Sicherheitsadvisory-Verzeichnis des Xen Project (XSA) vor. Betroffen sind laut aufgelösten Vendor-Angaben Xen Project sowie Progress Software. CVSS-Basiswert: 6.5 (Mittel). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

In Progress Telerik UI for AJAX vor Version 2026.2.708 können die Request-Parameter des DialogHandler manipuliert werden, was das serverseitige Verhalten des Dialogs verändern und verkettete Ausnutzung ermöglichen kann. Der Angriff erfolgt über das Netzwerk unter erschwerten Bedingungen und wirkt sich auf die Integrität aus (Vektor AV:N/AC:H/PR:N, I:H). CVSS-Basiswert: 5.9 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Telerik UI for AJAX 2026.2.708 oder neuer aktualisieren.

In den File-Upload-Modulen von Progress MOVEit Transfer besteht eine Path-Equivalence-Schwachstelle. Betroffen sind MOVEit Transfer vor 2025.0.8 sowie ab 2025.1.0 vor 2025.1.4. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf MOVEit Transfer 2025.0.8 bzw. 2025.1.4.

Eine eingeschränkte Schwachstelle zur Authentifizierungsumgehung durch Spoofing betrifft das HTTPS-Modul von Progress MOVEit Transfer. Betroffen sind Versionen vor 2025.0.7 sowie von 2025.1.0 vor 2025.1.3. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: MOVEit Transfer auf 2025.0.7 bzw. 2025.1.3 oder neuer aktualisieren.

Eine Insecure-Direct-Object-Reference-Schwachstelle in Koollab LMS erlaubte einem authentifizierten Nutzer, ohne Berechtigung den Kursabschluss-Fortschritt beliebiger anderer Nutzer abzufragen und damit private Lerndaten offenzulegen. CVSS-Basiswert: 3.1 (Niedrig).