Pure Storage Seite 6

better-auth vor Version 1.6.2 validiert den OAuth-state-Parameter bei Cookie-basierter State-Speicherung ohne PKCE nicht gegen die gespeicherte Nonce. Angreifer können laut Quelle den state-Parameter fälschen. CVSS-Basiswert: 5.3 (Mittel).

Rclone ist ein Kommandozeilenprogramm zur Synchronisation von Dateien und Verzeichnissen mit verschiedenen Cloud-Speicheranbietern. Vor Version 1.74.4 kann rclone beim Extrahieren von Archiven Dateien ausserhalb des vom Nutzer gewählten Zielverzeichnisses schreiben. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In OpenMcdf, einer .NET-/C#-Bibliothek zur Verarbeitung von Compound-File-Binary-Dateien (Structured Storage), besteht in Version 3.1.3 und älter eine Schwachstelle in der Namenssuche-Schleife der DirectoryTree-Verarbeitung. Laut CVSS-Vektor ist die Lücke nur lokal ausnutzbar und wirkt sich ausschliesslich auf die Verfügbarkeit aus. CVSS-Basiswert: 6.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Linux-Kernel wurde eine Schwachstelle behoben: Bei gesetztem CONFIG_BPF_LSM=y wird die Erstellung von BPF-Inode-Storage-Maps (BPF_MAP_TYPE_INODE_STORAGE) nun abgelehnt, wenn das BPF-LSM nicht initialisiert ist. Zu dieser Schwachstelle liegen keine CVSS- oder EPSS-Werte in den Quelldaten vor.

Dell VxRail vor Version 7.0.200 speichert Passwörter im Klartext im VxRail Manager. Ein Benutzer mit Sys-Admin-Rechten kann die Schwachstelle ausnutzen und so bestimmte Benutzeranmeldedaten offenlegen. CVSS-Basiswert: 6.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Version 7.0.200 oder neuer aktualisieren.

In der Android-App XAAP von Johnson Controls werden laut NVD sensible Informationen im Klartext gespeichert. Ein Angreifer mit Zugriff auf ein jailbreaktes oder anderweitig kompromittiertes Gerät kann dadurch sensible Daten auslesen. Ein CVSS-Basiswert und eine EPSS-Angabe liegen in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der Mesalvo Meona Client Launcher Component und der Meona Server Component besteht eine Schwachstelle durch Klartext-Speicherung sensibler Informationen im Arbeitsspeicher (Cleartext Storage of Sensitive Information in Memory). Angreifer mit entsprechendem Zugriff könnten dadurch schutzbedürftige Daten auslesen. CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Mitsubishi Electric GENESIS64 in Versionen 10.97.3 und früher sowie in der Mitsubishi Electric ICONICS Suite in Versionen 10.97.3 und früher werden sensible Informationen im Klartext gespeichert (Cleartext Storage of Sensitive Information). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der GUI von Mitsubishi Electric GENESIS64 (Versionen 10.97.3 und früher) und Mitsubishi Electric ICONICS Suite (Versionen 10.97.3 und früher) werden sensible Informationen im Klartext gespeichert. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Linux-Kernel wurde eine Schwachstelle im BPF Local Storage behoben: Das Löschen von Local Storage in einem NMI-Kontext konnte zu einem Deadlock beim verzögerten Freigeben führen; entsprechende Löschvorgänge werden im NMI-Kontext nun unterbunden. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Der Fix wird über die Kernel-Pakete der betroffenen Distributionen (Amazon Linux, Oracle Linux, Rocky Linux, Ubuntu) sowie Storage-Systeme von HPE, IBM und Pure Storage verteilt; das bereitgestellte Update sollte eingespielt werden.

Im Synology Storage Manager Package vor Version 1.0.1-1100 erlaubt eine Schwachstelle (GET-Anfrage mit sensiblen Query-Strings in der Volume-Verschlüsselung) lokalen Angreifern, vertrauliche Informationen auszulesen. CVSS-Basiswert: 6.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Variablen-Funktion von Devolutions PowerShell Universal 2026.2.2 und früher werden sensible Informationen im Klartext gespeichert. Ein lokaler Akteur mit Zugriff auf das Dateisystem kann dadurch geheime Werte auslesen. CVSS-Basiswert: 6.5 (Mittel), Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren und den Dateisystemzugriff einschränken.

Im Linux-Kernel wurde eine Out-of-Bounds-Schwachstelle im USB-Storage-Treiber sddr55 behoben. Der Wert new_pba wurde nicht ausreichend auf gültige Grenzen geprüft, was zu einem Zugriff ausserhalb des gültigen Bereichs führen konnte. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im verteilten Objektspeichersystem RustFS (vor Version 1.0.0-beta.2) werden bei aktiviertem Debug-Log (RUST_LOG=debug) sensible Informationen in den Logausgaben offengelegt. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der Software Senseway von Birtech Information Technologies besteht eine Schwachstelle durch unsichere Speicherung sensibler Informationen, die das Auslesen eingebetteter sensibler Daten ermöglicht. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Nhost, einer quelloffenen Firebase-Alternative mit GraphQL, vertraut der Datei-Upload-Handler des Storage-Dienstes vor Version 0.12.0 dem vom Client übermittelten Content-Type-Header, ohne serverseitig zu prüfen. Als betroffen ausgewiesen sind HPE Storage, IBM Storage und Pure Storage. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

@langchain/langgraph-checkpoint-mongodb ist eine LangGraph.js-CheckpointSaver-Implementierung, die MongoDB zur Speicherung nutzt. In Version 1.3.0 und früher besteht eine Anfälligkeit für NoSQL-Injection über Checkpoint-Kennungen; weitere Details zum genauen Ablauf sind in der Quelle abgeschnitten. CVSS-Basiswert: 6.7 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In der Software devpush (hunvreus) bis einschliesslich Version 0.4.6 wurde eine Schwachstelle in der Funktion reset_storage der Datei app/workers/tasks/storage.py entdeckt, die die Komponente zur Behandlung fehlgeschlagener Storage-Resets betrifft. Laut Quelle wirkt sich die Manipulation auf die Integrität aus, bei niedriger Auswirkung und erschwerten Ausnutzungsbedingungen (angrenzendes Netz, hohe Angriffskomplexität, erforderliche Rechte). CVSS-Basiswert: 2.6 (Niedrig).

In Bolt CMS bis Version 3.7.5 ist unbekannter Code der Datei src/Storage/Field/Type/TextType.php im Bestandteil HTML Attribute Handler betroffen. Durch Manipulation lässt sich die Komponente beeinträchtigen. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: ein Sicherheitsupdate einspielen, sobald verfügbar.

Das WordPress-Plugin DHL Shipping Germany for WooCommerce schützt vor Version 4.0.1 das Verzeichnis, in dem Versandlabels gespeichert werden, nicht durch eine serverunabhängige Zugriffskontrolle, sondern verlässt sich ausschliesslich auf eine Apache-.htaccess-Datei. Auf Webservern ohne Apache oder bei fehlerhafter Konfiguration können Versandlabels dadurch ungeschützt zugänglich sein. Laut Zuordnung sind zudem Ubiquiti (UniFi Protect), HPE Storage, IBM Storage und Pure Storage betroffen. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. Ab Version 0.24.0 und vor Version 1.2.5 leitet dulwich.porcelain.format_patch mit dem Parameter outdir jede Patch-Datei aus nicht vertrauenswürdigen Werten ab. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.