Pure Storage Seite 5

Für Synacor / Zimbra- und Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-39275) gemeldet. Weitere Hersteller und Distributionen (u. a. Debian, Fedora, NetApp, NAKIVO, HPE-, IBM- und Pure-Storage sowie Siemens) führen die Lücke ebenfalls in ihren Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 39.4 %.

Für mehrere überwachte Produkte wurde eine Sicherheitslücke (CVE-2022-22720) gemeldet; laut den Quellen sind unter anderem Asustor und Axis betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 28.2 %.

In Active Storage von Ruby on Rails besteht bei der Verarbeitung von Datei-Varianten (Variant Processing) möglicherweise eine Schwachstelle, die das Auslesen beliebiger Dateien sowie die Ausführung von entferntem Code erlaubt. Laut NVD deaktiviert Active Storage in Versionen vor 7.2.3.2, 8.0.5.1 und 8.1.3.1 keine als unsicher markierten libvips-Operationen bei nicht vertrauenswürdigen Eingaben. Die Rails Foundation hat inzwischen eine Folgemitteilung mit Angriffsdetails und Werkzeugen für eine forensische Untersuchung veröffentlicht. Auch Fastly führt die Schwachstelle in seiner Sicherheitsadvisory-Übersicht. Ausnutzungswahrscheinlichkeit (EPSS): 27.9 %. Ein CVSS-Basiswert liegt für diese CVE derzeit nicht vor.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-3450) gemeldet, die die OpenSSL-Bibliothek betrifft und per Advisory adressiert wurde; mehrere Hersteller sind betroffen. Eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-5482) gemeldet und im Sicherheitsadvisory des curl-Projekts dokumentiert. Ausnutzungswahrscheinlichkeit (EPSS): 17.9 %.

Für Produkte von Axis Communications liegt ein Sicherheitshinweis des Herstellers vor. Zur genauen Schwachstelle enthalten die Quelldaten keine belastbare technische Beschreibung, weshalb Angriffsweg und Auswirkung hier nicht näher ausgeführt werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 17.1 %. Empfohlene Massnahme: den referenzierten Sicherheitshinweis des Herstellers beachten und verfügbare Aktualisierungen einspielen.

Für LibreOffice wurde eine Sicherheitslücke (CVE-2012-0037) gemeldet und in den Sicherheitsadvisories der The Document Foundation dokumentiert. Ausnutzungswahrscheinlichkeit (EPSS): 13.7 %.

Für Synology-Produkte und weitere Hersteller wurde eine Sicherheitslücke im Samba-Dienst gemeldet (CVE-2017-12150). Ausnutzungswahrscheinlichkeit (EPSS): 13.3 %.

Für CVE-2020-8285 liegt ein Sicherheitshinweis von curl / Daniel Stenberg vor. Laut Zuordnung sind unter anderem curl, Debian, Fedora, NetApp, HPE Storage, IBM Storage, Pure Storage, Apple (macOS/iOS), Axis, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco) betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 9.9 %.

Diese OpenSSL-Schwachstelle ist laut dem Axis-Security-Advisory-Portal in Axis-Produkten dokumentiert und wird zusätzlich von zahlreichen weiteren Herstellern geführt, darunter Debian (DSA), Qualys/Rapid7/Tenable, Paessler AG, Apple (macOS/iOS), NetApp, Rockwell Automation, HPE Storage, IBM Storage, Pure Storage, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers und Siemens ProductCERT. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 7.4 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Für curl sowie die nachgelagerten Produkte von Axis, Fedora, NetApp, HPE Storage, IBM Storage, Pure Storage, Debian (DSA), Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco) wurde eine Schwachstelle gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 5.3 %.

Die Schwachstelle ist der curl-Bibliothek zugeordnet; laut den Quelldaten liegt keine detaillierte technische Beschreibung vor. Betroffen sind laut Zuordnung zahlreiche nachgelagerte Distributionen und Produkte, die curl integrieren. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.6 %.

Für CVE-2020-8284 liegt laut curl-Sicherheitsadvisory (Daniel Stenberg) ein Eintrag zu curl vor; eine detaillierte Beschreibung der Schwachstelle ist in den übergebenen Quelldaten nicht enthalten. Als betroffen zugeordnet sind laut Quellenlage unter anderem Fedora, Debian, NetApp, HPE Storage, IBM Storage, Pure Storage, Apple (macOS/iOS), Axis, Oracle, Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco), die curl als Bestandteil einsetzen. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.9 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl sowie die nachgelagerten Produkte von Axis, Fedora, Debian (DSA), NetApp, HPE Storage, IBM Storage, Pure Storage und Splunk (Cisco) wurde eine Sicherheitslücke (CVE-2022-27776) gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ausnutzungswahrscheinlichkeit (EPSS): 3.8 %.

curl (Daniel Stenberg) führt CVE-2021-22890 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem Storage-Produkte von NetApp, HPE Storage, IBM Storage und Pure Storage sowie weitere Produkte von Axis, Fedora, Debian und Siemens, die die Bibliothek einsetzen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.1 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. OpenSSL, HPE Storage, IBM Storage, Pure Storage sowie Siemens Healthineers/ProductCERT) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl und weitere betroffene Produkte (Axis, NetApp, HPE Storage, IBM Storage, Pure Storage, Splunk (Cisco)) wurde eine Sicherheitslücke (CVE-2022-27779) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.7 %.

Für curl wird in der offiziellen Schwachstellenübersicht ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Axis, NetApp, HPE Storage, IBM Storage, Pure Storage sowie Splunk) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.5 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Produkte von Moxa, NetApp, HPE Storage, IBM Storage, Pure Storage, Debian (DSA) und SUSE/openSUSE wurde die Schwachstelle CVE-2020-11868 gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 2.1 %. Empfohlene Massnahme: das Moxa-Security-Advisory sowie die Hinweise der weiteren betroffenen Hersteller prüfen und verfügbare Updates einspielen.

Für curl sowie die nachgelagerten Produkte von Axis, NetApp, HPE Storage, IBM Storage, Pure Storage und Splunk (Cisco) wurde eine Sicherheitslücke (CVE-2022-30115) gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

curl (Daniel Stenberg) führt CVE-2025-0725 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem Storage-Produkte von NetApp, HPE Storage, IBM Storage und Pure Storage, die die Bibliothek einsetzen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

curl / Daniel Stenberg führt CVE-2025-0167 in seinen Sicherheitsmeldungen; die Lücke betrifft laut Quelle auch NetApp, Element (Matrix.org), HPE Storage, IBM Storage und Pure Storage. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. Ab Version 0.24.0 und vor Version 1.2.5 verarbeitet der ProcessMergeDriver von Dulwich den Dateipfad auf unsichere Weise, was ein Sicherheitsrisiko darstellt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf Dulwich 1.2.5 oder neuer aktualisieren.

In mod-remote-storage vor Version 1.7.2 sowie in den Versionen 2.0.0 bis 2.0.3 erlauben hartcodierte Zugangsdaten nicht autorisierten Nutzern Lesezugriff auf Datensätze von mod-inventory-storage, darunter Instances und Holdings. CVSS-Basiswert: 5.3 (Mittel) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Quinn ist eine in Rust geschriebene, asynchrone Implementierung des IETF-QUIC-Transportprotokolls. In Versionen vor 0.11.14 kann ein entfernter, nicht authentifizierter Angreifer in Anwendungen, die die betroffene Bibliothek verwenden, einen Denial of Service auslösen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Quinn 0.11.14 oder neuer aktualisieren.

Dell SmartFabric Storage Software in Versionen vor 1.4.5 enthält eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in Befehlen (Command Injection). Ein Angreifer mit hohen Rechten kann darüber Befehle einschleusen. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

rclone ist ein Kommandozeilenprogramm zur Synchronisation von Dateien und Verzeichnissen mit verschiedenen Cloud-Speicheranbietern. Laut NVD verarbeitet der gemeinsam genutzte HTTP-CONNECT-Helfer in lib/proxy/http.go vor Version 1.75.0 CONNECT-Anfragen fehlerhaft. CVSS-Basiswert: 5.9 (Mittel). Ein EPSS-Wert liegt für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In OpenStack Horizon erfolgt bereits vor der Authentifizierung eine Schreiboperation auf das Session-Storage-Backend, wodurch nicht authentifizierte Angreifer den Speicher erschöpfen können (Denial of Service). Betroffen sind die Versionen 25.6 und 25.7 vor 25.7.3. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf OpenStack Horizon 25.7.3 oder neuer aktualisieren.

Dell ECS in den Versionen 3.5 und 3.6 enthält eine unzureichende Zugriffskontrolle (Improper Access Control) im Modul für Identity and Access Management (IAM). Ein entfernter, nicht authentifizierter Angreifer könnte die Schwachstelle potenziell ausnutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Integer-Overflow oder Wraparound in Windows Storage Spaces Direct erlaubt es einem nicht autorisierten Angreifer, über einen physischen Angriff Code auszuführen. CVSS-Basiswert: 6.8 (Mittel). Der Angriffsweg ist physisch. Betroffen sind laut Quelldaten Microsoft Windows sowie zugehörige Storage-Produkte. Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

rclone synchronisiert Dateien und Verzeichnisse mit verschiedenen Cloud-Storage-Anbietern. Laut NVD lehnt der Befehl rclone serve restic in den Versionen 1.40.0 bis 1.75.0 bestimmte URL-Pfade nicht korrekt ab. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung.

Backend-Benutzer mit Datei-Download-Berechtigung konnten über das Medien-Modul Dateien aus dem Fallback-Speicher der File Abstraction Layer (FAL) herunterladen. Da der Fallback-Speicher Pfade relativ auflöst, liess sich damit auf Dateien ausserhalb des vorgesehenen Bereichs zugreifen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Integer-Überlauf in Windows Storage Spaces Direct erlaubt es einem nicht berechtigten Angreifer, über einen physischen Angriff seine Rechte auszuweiten. Betroffen ist Microsoft Windows. CVSS-Basiswert: 6.8 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: verfügbare Sicherheitsupdates von Microsoft einspielen.

CVAT ist ein Open-Source-Tool zur interaktiven Video- und Bildannotation für Computer Vision. In den Versionen 1.6.0 bis 2.64.0 betrifft die Schwachstelle Angreifer mit Schreibzugriff auf einen mit einer CVAT-Instanz verknüpften Cloud-Speicher. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

nimiq-blockchain stellt den persistenten Blockspeicher für die Rust-Implementierung von Nimiq bereit. In Versionen 1.3.0 und älter akzeptiert die network-libp2p-Discovery signierte PeerContact-Updates von nicht vertrauenswürdigen Peers und speichert sie. CVSS-Basiswert: 4.3 (Mittel); der Vektor weist Auswirkungen auf die Verfügbarkeit aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der CentralAuth-Erweiterung von MediaWiki der Wikimedia Foundation besteht eine Schwachstelle durch die unzureichende Entfernung sensibler Informationen vor Speicherung oder Übertragung, die zur Offenlegung von Ressourcen führen kann. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

rclone ist ein Kommandozeilenprogramm zur Synchronisation von Dateien und Verzeichnissen mit verschiedenen Cloud-Speicherdiensten. In den Versionen 1.51.0 bis 1.75.0 verlässt sich das Local-Backend (backend/local/local.go) laut NVD-Quellbeschreibung auf eine fehlerhafte Konfigurationsprüfung; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 6.9 (Mittel).

Die Schwachstelle betrifft AWS HealthOmics, einen verwalteten Dienst für die Ausführung bioinformatischer Analysen. Die vorliegenden Quelldaten beschreiben überwiegend den Dienst selbst und führen die technischen Details des Fehlers nicht näher aus. CVSS-Basiswert: 5.5 (Mittel); der Vektor weist auf lokalen Zugriff mit Benutzerinteraktion und eine hohe Beeinträchtigung der Integrität hin. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: Advisory des Herstellers beachten.

Zeroconf ist eine reine Python-Implementierung der Multicast-DNS-Diensterkennung. In Versionen vor 0.149.7 fügte DNSCache._async_add jeden empfangenen Antwort-Datensatz in den Cache sowie die zugehörigen Ablauf- und Heap-Strukturen ein, was zu unkontrolliertem Wachstum führen kann. CVSS-Basiswert: 6.5 (Mittel); der Vektor weist auf eine hohe Beeinträchtigung der Verfügbarkeit hin. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: Aktualisierung auf Version 0.149.7 oder neuer.

Zeroconf ist eine reine Python-Implementierung der Multicast-DNS-Diensterkennung. In Versionen vor 0.149.6 speicherten DNSIncoming._log_exception_debug sowie die vier QuietLogger-Methoden zur Deduplizierung von Ausnahmen unbeschränkt Einträge, was zu einem unkontrollierten Speicherverbrauch führen kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 0.149.6 oder neuer aktualisieren.

Authentifizierte Backend-Benutzer konnten über mehrere Backend-API-Routen Datei-Metadaten abrufen, ohne dass die Berechtigungen ausreichend geprüft wurden. Dadurch war der Zugriff auf Dateien ausserhalb der zugewiesenen File Mounts bzw. Speicher möglich. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

rclone synchronisiert Dateien und Verzeichnisse mit verschiedenen Cloud-Storage-Anbietern. Laut NVD kann vor Version 1.75.0 ein gültiges, aber nicht standardmässiges FTP-Dateinamens-Encoding in backend/ftp/ftp.go ausgenutzt werden. CVSS-Basiswert: 6.4 (Mittel). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Zeroconf ist eine reine Python-Implementierung der Multicast-DNS-Diensterkennung. In Versionen vor 0.149.5 rekursiert DNSIncoming._decode_labels_at_offset einmal pro DNS-Namens-Kompressionszeiger, sodass bereits ein einzelnes mDNS-Paket eine unkontrollierte Rekursion auslösen kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 0.149.5 oder neuer aktualisieren.

Zeroconf, eine reine Python-Implementierung der Multicast-DNS-Diensterkennung, bewahrte vor Version 0.149.12 in AsyncListener.handle_query_or_defer jede abgeschnittene eingehende Anfrage mit gesetztem TC-Bit auf. Da diese Anfragen bis zur maximalen Nachrichtengrösse akkumuliert werden konnten, ist eine Erschöpfung des Speichers und damit ein Denial of Service möglich. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 0.149.12 oder neuer aktualisieren.

Die Geräte-Tag-Filterung des SQLite-Backends von ChirpStack (chirpstack/src/storage/device.rs, in get_count() und list()) interpoliert laut NVD den benutzerseitig gelieferten Tag-KEY direkt und unbereinigt in ein rohes SQL-Fragment. Dadurch ist SQL-Injection über diesen Filterparameter möglich. CVSS-Basiswert: 6.5 (Mittel). In den vorliegenden Quelldaten ist keine Ausnutzungswahrscheinlichkeit (EPSS) angegeben.

In RustFS (vor Version 1.0.0-beta.2) erlaubt eine unzureichende Validierung am Endpunkt PUT /rustfs/admin/v3/import-iam einem Benutzer mit der Berechtigung ImportIAMAction, privilegierte Konten oder Konfigurationen anzulegen. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Zeroconf ist eine reine Python-Implementierung der Multicast-DNS-Dienst-Erkennung. In Versionen vor 0.149.16 verschieben die Funktionen _read_character_string und _read_string in src/zeroconf/_protocol/incoming.py den Offset fehlerhaft. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 0.149.16 oder neuer aktualisieren.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. In den Versionen ab 0.1.0 und vor 1.2.5 könnte ein Client mit Push-Zugriff ein kleines, speziell gestaltetes Thin Pack übertragen. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im LDAP-Storage-Provider von Keycloak, der zur Föderation von Benutzeridentitäten aus externen Verzeichnissen dient, wurde laut NVD ein Fehler gefunden. Er tritt auf, wenn ein delegierter Administrator eine Suche durchführt. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 5.4 (Mittel). Laut Zuordnung sind zudem HPE Storage, IBM Storage und Pure Storage betroffen.

Capgo vor Version 12.128.2 löscht zuvor hochgeladene Profilbilder nicht aus dem Backend-Speicher, wenn Nutzer diese ersetzen oder entfernen. Laut Quelle können Angreifer über zuvor generierte URLs auf die verwaisten Bilddateien zugreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.