Sage

Eine Out-of-bounds-Write-Schwachstelle (CWE-787) kann zu einer Authentifizierungsumgehung führen, wenn ein fehlerhafter POST-Request gesendet wird und bestimmte Konfigurationsparameter gesetzt sind. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Die optionalen Funktionen Web Screens und Global Search von Sage 300 bis Version 2022 verwenden einen fest einprogrammierten 40-Byte-Blowfish-Schlüssel, um Geheimnisse in Konfigurationsdateien und Datenbanktabellen zu ver- und zu entschlüsseln. Wer den Schlüssel kennt, kann diese Geheimnisse entschlüsseln. CVSS-Basiswert: 9.8 (Kritisch).

Sage 300 bis einschliesslich Version 2022 verwendet einen fest einprogrammierten 40-Byte-Blowfish-Schlüssel, um Benutzerpasswörter und SQL-Verbindungszeichenfolgen in ISAM-Datenbankdateien im gemeinsamen Datenverzeichnis zu ver- und entschlüsseln. Dadurch können Angreifer Benutzerpasswörter und SQL-Verbindungszeichenfolgen entschlüsseln. CVSS-Basiswert: 9.8 (Kritisch).

In Sage Enterprise Intelligence 2021 R1.1 erlauben mehrere Cross-Site-Scripting-Schwachstellen einem authentifizierten Angreifer, JavaScript-Code im Browserkontext anderer Nutzer auszuführen. Über die Benachrichtigungsfunktion lässt sich als gespeichertes XSS Code an alle Nutzer mit aktivierten Benachrichtigungen verteilen, was zu einer Rechteausweitung im Anwendungskontext führen kann. CVSS-Basiswert: 9 (Kritisch).

In der Komponente AdxDSrv.exe von Sage X3 erlaubt eine Schwachstelle nicht authentifizierten Angreifern die Remote-Code-Ausführung mit SYSTEM-Rechten. Durch Manipulation der clientseitigen Authentifizierungsanfrage lässt sich die Prüfung der Zugangsdaten umgehen; die Ausnutzung setzt Kenntnis des Installationspfads voraus, die sich über CVE-2020-7387 gewinnen lässt. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: auf AdxAdmin 93.2.53 aktualisieren (enthalten in den angegebenen Syracuse-Updates für die On-Premises-Versionen 9, 11 und 12).

Die Sage-Erweiterung für Firefox in Version 1.4.3 und früher führt bestimmte Operationen mit Chrome-Rechten aus, wodurch entfernte Angreifer über das description-Tag eines RSS-Feeds beliebige Befehle ausführen und Cross-Domain-Scripting-Angriffe durchführen können. CVSS-Basiswert: 9.3 (Kritisch).

Eine fehlerhafte Zugriffskontrolle in Sage DPW 2024_12_004 und früher erlaubt es unbefugten Angreifern, über eine manipulierte Anfrage auf den integrierten Database Monitor zuzugreifen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: laut Hersteller ist das Problem in Version 2025_06_000 (Juni 2025) behoben; auf diese oder eine neuere Version aktualisieren.

In Sage DPW vor Version 2024_12_001 werden die rollenbasierten Zugriffskontrollen serverseitig nicht durchgängig erzwungen. Niedrig privilegierte Benutzer mit Mitarbeiterrolle können externe Kurse für andere Mitarbeitende anlegen, obwohl die Oberfläche diese Möglichkeit nicht vorsieht, indem sie in einer gültigen Anfrage die eigene Benutzer-ID im Parameter id durch eine fremde ID ersetzen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf Version 2024_12_001 oder neuer aktualisieren.

In Sage 1000 v7.0.0 besteht eine Schwachstelle durch uneingeschränkten Datei-Upload, die es autorisierten Benutzern erlaubt, Dateien ohne ausreichende Validierung hochzuladen. Ein Angreifer könnte schädliche Dateien wie HTML, Skripte oder anderen ausführbaren Inhalt hochladen, die auf dem Server ausgeführt werden und zu einer weiteren Kompromittierung des Systems führen. CVSS-Basiswert: 8.1 (Hoch).

In Sage 1000 v7.0.0 besteht eine Schwachstelle zur Dateioffenlegung. Entfernte Angreifer können durch Manipulation eines URL-Parameters in HTTP-Anfragen beliebige Dateien aus dem Dateisystem des Servers abrufen, darunter Konfigurationsdateien mit Zugangsdaten und Systemeinstellungen, was eine weitergehende Kompromittierung des Servers ermöglichen kann. CVSS-Basiswert: 7.2 (Hoch).

Eine Path-Traversal-Schwachstelle (CWE-22) könnte es einem authentifizierten Benutzer mit Zugang zur Web-Schnittstelle des Geräts ermöglichen, durch eine präparierte HTTP-Anfrage Dateien zu beschädigen und die Gerätefunktion zu beeinträchtigen. CVSS-Basiswert: 8.1 (Hoch).

Eine Schwachstelle durch fehlerhafte Standardberechtigungen (CWE-276) erlaubt einem authentifizierten Benutzer mit Zugriff auf die Web-Oberfläche des Geräts, über präparierte Web-Requests unautorisierte Datei- und Firmware-Uploads durchzuführen. CVSS-Basiswert: 7.5 (Hoch).

In Sage 200 Spanien, Version 2023.38.001, besteht eine Schwachstelle durch die Verwendung von Zugangsdaten im Klartext. Ein Angreifer aus der Ferne kann daraus SQL-Datenbank-Zugangsdaten aus der DLL der Anwendung auslesen; da die Zugangsdaten im Klartext vorliegen, lässt sich dies mit bekannten Techniken zur Ausführung von MS-SQL-Befehlen und zur Rechteausweitung auf Windows-Systemen verketten. CVSS-Basiswert: 7.8 (Hoch).

Sage X3 in Version 12.14.0.50-0 ist anfällig für CSV Injection. Betroffen sind Produkte von Sage. CVSS-Basiswert: 7.2 (Hoch).

In Sage 300 2017 bis 2022 (6.4.x bis 6.9.x) mit Peer-to-Peer- oder Client-Server-Netzwerkkonfiguration kann ein niedrig privilegierter Arbeitsplatzbenutzer seinen Zugriff auf den SharedData-Ordner des Sage-300-Servers missbrauchen, um Zugangsdaten von Sage-300-Benutzern und SQL-Konten einzusehen oder zu verändern. Damit lassen sich Benutzer imitieren und die SQL-Datenbank mit Administratorrechten ansprechen, was je nach Konfiguration bis zur Codeausführung auf dem Datenbankserver führen kann. CVSS-Basiswert: 7.8 (Hoch).

Die optionale Global-Search-Funktion von Sage 300 bis Version 2022 verwendet fest kodierte Zugangsdaten für die zugehörige Apache-Solr-Instanz. Dies kann Angreifern ermöglichen, sich mit Administratorrechten am Solr-Dashboard anzumelden und auf vertrauliche Informationen zuzugreifen. Betroffen sind Produkte von Sage. CVSS-Basiswert: 7.5 (Hoch).

Die optionale Web-Screens-Funktion von Sage 300 bis einschliesslich Version 2022 verwendet einen fest codierten 40-Byte-Blowfish-Schlüssel, um die Datenbank-Verbindungszeichenfolge für die PORTAL-Datenbank in der dbconfig.xml zu ver- und entschlüsseln. Diese Schwachstelle könnte Angreifern Zugriff auf die SQL-Datenbank verschaffen. CVSS-Basiswert: 7.5 (Hoch).

In Sage FRP 1000 vor November 2019 besteht eine Path-Traversal-Schwachstelle. Sie erlaubt entfernten, nicht authentifizierten Angreifern über eine präparierte URL den Zugriff auf Dateien ausserhalb des Web-Verzeichnisbaums. Betroffen sind Produkte von Sage. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die Fassung ab November 2019 oder neuer aktualisieren.

Sage XRT Business Exchange 12.4.302 enthält mehrere SQL-Injection-Schwachstellen. Ein authentifizierter Angreifer kann über die Funktionen Add Currencies, Payment Order und Transfer History schädliche Daten in SQL-Abfragen einschleusen. CVSS-Basiswert: 8.8 (Hoch).

In Sage 300 ERP (ehemals Accpac) bis einschliesslich 6.8.x trägt der Installer das Verzeichnis C:\Sage\Sage300\Runtime als ersten Eintrag in die systemweite PATH-Umgebungsvariable ein. Da dieses Verzeichnis für unprivilegierte Nutzer beschreibbar ist (der Installer setzt keine expliziten Berechtigungen und erbt die schwachen Rechte von C:\), lässt sich über DLL-Search-Order-Hijacking eine Rechteausweitung auf SYSTEM erreichen; bei aktivierter Global-Search- oder Web-Screens-Funktion auch über die zugehörigen Dienste. CVSS-Basiswert: 7.8 (Hoch).

Sage XRT Treasury (Version 3) schränkt den Datenbankzugriff nicht ausreichend auf berechtigte Benutzer ein. Da die Zugriffsrechte über das Feld USER_CODE bestimmt werden, kann ein niedrig privilegierter, authentifizierter Benutzer durch Ändern dieses Werts auf den eines privilegierten Kontos privilegierten Zugriff auf die SQL-Datenbank erlangen. Über speziell gestaltete SQL-Abfragen lässt sich so privilegierter Zugriff auf die Anwendungsdatenbank erreichen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Herstellerkorrektur einspielen und Datenbankberechtigungen prüfen.

Der Login-Mechanismus von Sage DPW 2025_06_004 zeigt für gültige und ungültige Benutzernamen unterschiedliche Antworten und erlaubt so in Versionen vor 2021_06_000 die Enumeration bestehender Konten. In neueren Versionen können On-Premise-Administratoren dieses Verhalten abschalten. CVSS-Basiswert: 4.7 (Mittel). Empfohlene Massnahme: auf eine neuere Version aktualisieren und die Enumerationsabwehr aktivieren.

Eine nicht standardmässige Konfiguration in Sage DPW 2025_06_004 erlaubt unauthentifizierten Zugriff auf Diagnose-Endpunkte innerhalb der Funktion Database Monitor und gibt dabei sensible Informationen wie Hashes und Tabellennamen preis. Diese Funktion ist in allen Installationen standardmässig deaktiviert und in Sage DPW Cloud nie verfügbar. CVSS-Basiswert: 5.9 (Mittel). Empfohlene Massnahme: In Version 2025_06_003 wurde die Funktion erneut zwangsweise deaktiviert.

Eine Insecure Direct Object Reference (IDOR) in Sage DPW v2024_12_004 und älter erlaubt unautorisierten Angreifern den Zugriff auf interne Formulare über eine manipulierte GET-Anfrage. CVSS-Basiswert: 5.3 (Mittel). Betroffen ist Sage.

In Sage DPW 2024_12_004 und früher erlaubt eine Reflected-Cross-Site-Scripting-Schwachstelle (XSS) Angreifern, über das Einschleusen einer präparierten Payload in den Parameter tabfields unter /dpw/scripts/cgiip.exe/WService beliebiges JavaScript im Browserkontext eines Opfers auszuführen. CVSS-Basiswert: 6.1 (Mittel). Empfohlene Massnahme: laut Hersteller ist das Problem in Version 2025_06_000 (Juni 2025) behoben.

Sage DPW vor Version 2024_12_000 ist anfällig für gespeichertes Cross-Site-Scripting. Niedrig privilegierte Sage-Nutzer mit Mitarbeiterrolle können in den Eingabefeldern Kurstitel und Kurzinfo dauerhaft JavaScript-Code hinterlegen, der bei jedem authentifizierten Nutzer ausgeführt wird, der die veränderten Datenelemente ansieht. CVSS-Basiswert: 5.4 (Mittel). Empfohlene Massnahme: auf Version 2024_12_000 oder neuer aktualisieren.

In Sage 1000 v7.0.0 besteht eine Reflected-Cross-Site-Scripting-Schwachstelle (XSS). Angreifer können bösartige Skripte in URLs einschleusen, die vom Server ohne geeignete Bereinigung oder Kodierung in der Antwort zurückgegeben werden. CVSS-Basiswert: 6.1 (Mittel).

Sage X3 in Version 12.14.0.50-0 ist anfällig für Cross-Site Scripting (XSS). Teile der Webanwendung werden dynamisch aus Benutzereingaben erzeugt, ohne dass diese geprüft oder gefiltert werden; eingeschleuster HTML-/JavaScript-Code wird gespeichert und im Browser des Benutzers ausgeführt. Der wichtigste Einschleusungspunkt erlaubt einem angemeldeten Benutzer mit einfachem Konto, einen Administrator anzugreifen. CVSS-Basiswert: 5.4 (Mittel).

Versionen von Sage 300 bis einschliesslich 2022 setzen rollenbasierte Zugriffskontrollen nur clientseitig durch. Niedrig privilegierte Sage-Benutzer, insbesondere in den Konfigurationen Windows Peer-to-Peer Network oder Client Server Network, können die von Sage 300 verwendeten SQL-Verbindungszeichenfolgen wiederherstellen und direkt mit den zugrunde liegenden Datenbanken interagieren – und so unter Umgehung der rollenbasierten Zugriffskontrollen sämtliche Unternehmensdatensätze anlegen, ändern und löschen. CVSS-Basiswert: 4.3 (Mittel).

In Sage XRT Business Exchange 12.4.302 wurden mehrere XSS-Schwachstellen entdeckt, über die ein authentifizierter Angreifer JavaScript-Code im Browser-Kontext anderer Nutzer ausführen kann. Betroffen sind die Filter- und Anzeigemodell-Funktionen sowie die Benachrichtigungsfunktion, in denen Namen als HTML interpretiert werden (Stored XSS); zusätzlich besteht in der Datei-Download-Funktion eine Self-XSS. CVSS-Basiswert: 5.4 (Mittel).

In Sage X3 kann ein speziell gestaltetes Paket eine Antwort der Komponente AdxDSrv.exe hervorrufen, die das Installationsverzeichnis des Produkts offenlegt. Die Schwachstelle lässt sich mit CVE-2020-7388 zu einer vollständigen Codeausführung kombinieren. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: das Update auf AdxAdmin 93.2.53 bzw. die entsprechenden unterstützten Sage-X3-Versionen einspielen.

In Sage X3 besteht auf der Bearbeitungsseite des Benutzerprofils eine Stored-XSS-Schwachstelle. Ein authentifizierter Benutzer kann XSS-Zeichenketten über die Felder Vorname, Nachname und E-Mail-Adresse dieser Komponente einschleusen. Updates stehen für die On-Premises-Versionen von Version 12 (mit Syracuse 12.10.0 und später ausgelieferte Komponenten) zur Verfügung. CVSS-Basiswert: 4.6 (Mittel).

In Sage X3 lassen sich über die vom Webserver verwendete Variable CHAINE Betriebssystembefehle einschleusen. Ein authentifizierter Benutzer mit Entwicklerzugriff kann darüber Befehle ausführen; laut Quelle sollte diese Entwicklerkonfiguration nicht produktiv eingesetzt werden. CVSS-Basiswert: 5.5 (Mittel).

In Sage EasyPay 10.7.5.10 bestehen mehrere gespeicherte Cross-Site-Scripting-Schwachstellen (Stored XSS). Authentifizierte Angreifer können über mehrere Parameter mittels Unicode-Transformationen (Best-fit Mapping) beliebiges Web-Skript oder HTML einschleusen, etwa über die Vollbreiten-Varianten der Kleiner-als- und Grösser-als-Zeichen. CVSS-Basiswert: 5.4 (Mittel). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

In Sage DPW 2020_06_x vor 2020_06_002 können nicht authentifizierte Benutzer über die Funktion zur Spesenerfassung JavaScript in einer Datei hochladen; das Anzeigen der Datei erfordert allerdings eine Authentifizierung. Durch Ausnutzung dieser Schwachstelle kann ein Angreifer dauerhaft beliebigen HTML- oder JavaScript-Code in die betroffene Webseite einbetten, um Inhalte zu verändern, umzuleiten oder Benutzeranmeldedaten zu stehlen. CVSS-Basiswert: 6.1 (Mittel).

In Sage DPW 2020_06_x vor Version 2020_06_002 ist das Suchfeld Kurs suchen auf der Seite Kurskatalog anfällig für reflektiertes Cross-Site-Scripting. Lockt ein Angreifer einen Benutzer auf einen präparierten Link, kann er beliebigen JavaScript-Code im Browser des Opfers ausführen, um Seiteninhalte zu verändern, umzuleiten oder Zugangsdaten zu stehlen. CVSS-Basiswert: 6.1 (Mittel). Empfohlene Massnahme: auf Version 2020_06_002 oder neuer aktualisieren.

Schneider Electric Telvent Sage 2300 RTUs mit Firmware vor C3413-500-S01 sowie LANDAC II-2 und weitere Sage-RTUs (1410, 1430, 1450, 2400, 3030M) mit Firmware vor C3414-500-S02J2 erlauben entfernten Angreifern, sensible Informationen aus dem Gerätespeicher auszulesen, indem sie ein Padding-Feld eines Ethernet-Pakets lesen. Betroffen sind Sage-RTUs von Schneider Electric. CVSS-Basiswert: 5.3 (Mittel).

Wind River VxWorks in mehreren Versionen, wie es unter anderem auf Schneider Electric SAGE RTU-Geräten vor J2 eingesetzt wird, erzeugt TCP-Initial-Sequence-Number-Werte nicht ordnungsgemäss. Dadurch können entfernte Angreifer durch Vorhersage eines ISN-Werts TCP-Sitzungen leichter fälschen. CVSS-Basiswert: 5.8 (Mittel).

Die Schneider Electric Telvent SAGE 3030 RTU mit den Firmware-Ständen C3413-500-001D3_P4 und C3413-500-001F0_PB erlaubt Angreifern aus der Ferne, über fehlerhaften DNP3-Verkehr einen Denial of Service auszulösen (vorübergehender Ausfall und CPU-Auslastung). CVSS-Basiswert: 5 (Mittel). Empfohlene Massnahme: Herstellerkorrektur einspielen und DNP3-Verkehr netzseitig absichern.

Das Sage Pay Direct-Modul in osCommerce prüft nicht, ob der Server-Hostname mit dem Common Name (CN) oder dem subjectAltName-Feld des X.509-Zertifikats übereinstimmt. Dadurch können Man-in-the-Middle-Angreifer über ein beliebiges gültiges Zertifikat SSL-Server vortäuschen. CVSS-Basiswert: 5.8 (Mittel).

Eine Cross-Site-Scripting-Schwachstelle (XSS) im Sage-Add-on 1.3.10 und früher für Mozilla Firefox erlaubt entfernten Angreifern, über einen präparierten Feed beliebiges Web-Skript oder HTML einzuschleusen. Es handelt sich um eine andere Schwachstelle als CVE-2009-4102. CVSS-Basiswert: 4.3 (Mittel).

Eine Cross-Site-Scripting-Schwachstelle in der Firefox-Erweiterung Sage vor Version 1.3.10 sowie in Sage++ erlaubt entfernten Angreifern das Einschleusen beliebigen Web-Skripts oder HTML über eine präparierte Skript-Sequenz in einem RSS-Feed. Laut Quelle handelt es sich um eine andere Schwachstelle als CVE-2006-4712. CVSS-Basiswert: 4.3 (Mittel).

Die Firefox-Erweiterung Sage 1.3.8 und früher erlaubt Angreifern aus der Ferne, beliebiges JavaScript im lokalen Kontext auszuführen. Ein RSS-Feed mit einem img-Tag, das ein Skript und ein zusätzliches abschliessendes Zeichen enthält, wird von Sage so verändert, dass das img-Element vor dem schädlichen Skript geschlossen wird. CVSS-Basiswert: 6.8 (Mittel).

In Sage bestehen mehrere Cross-Site-Scripting-Schwachstellen (XSS), über die entfernte Angreifer per Atom-1.0-Feed beliebiges Webskript oder HTML einschleusen können. CVSS-Basiswert: 4.3 (Mittel).

In Sage 1.3.6 erlauben mehrere Cross-Site-Scripting-Schwachstellen entfernten Angreifern das Einschleusen von beliebigem Web-Skript oder HTML über JavaScript in einem content:encoded-Element innerhalb eines item-Elements in einem RSS-Feed. CVSS-Basiswert: 6.8 (Mittel).

Sage 1.0 b3 erlaubt entfernten Angreifern die Ermittlung des Wurzelverzeichnisses des Webservers über eine URL-Anfrage nach einem nicht existierenden Modul, dessen Fehlermeldung den Pfad zurückgibt. CVSS-Basiswert: 5 (Mittel).

Eine Cross-Site-Scripting-Schwachstelle (XSS) in Sage 1.0 b3 erlaubt entfernten Angreifern, über den Parameter mod beliebiges HTML oder Web-Skript einzuschleusen. Betroffen sind Produkte von Sage. CVSS-Basiswert: 4.3 (Mittel).

Der Anmeldemechanismus von Sage DPW 2021_06_004 liefert unterschiedliche Antworten für gültige und ungültige Benutzernamen und erlaubt so in Versionen vor 2021_06_000 die Enumeration vorhandener Konten. In neueren Versionen können On-Premise-Administratoren dieses Verhalten abschalten. CVSS-Basiswert: 3.7 (Niedrig).

Sage Software MAS 200 erlaubt entfernten Angreifern, einen Denial of Service auszulösen, indem sie sich mit Port 10000 verbinden und eine Folge von Steuerzeichen senden. CVSS-Basiswert: 2.1 (Niedrig). Betroffen ist Sage.