SimpleHelp Remote Support Seite 14

Mehrere Schwachstellen in Snowflake libsnowflakeclient vor Version 2.9.2 können entfernte Codeausführung und das Abfliessen von Zugangsdaten ermöglichen. Beschrieben ist unter anderem ein Stack-basierter Pufferüberlauf in der Datei-Download-Funktion. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Snowflake libsnowflakeclient 2.9.2 aktualisieren.

In Netatalk 3.1.4 bis 4.4.2 erlaubt ein Logikfehler im Zusammenhang mit bitweisen OR-Operationen einem entfernten, authentifizierten Angreifer das Einschleusen von Betriebssystembefehlen und damit die Ausführung beliebigen Codes. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Navigation-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber möglicherweise über eine präparierte HTML-Seite einen Sandbox-Escape durchführen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Netatalk 2.0.4 bis 4.4.2 erlaubt eine fehlende Längenprüfung der Ausgabe in pull_charset_flags() einem entfernten authentifizierten Angreifer, über manipulierte Eingaben beliebigen Code auszuführen oder einen Denial of Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion, jedoch mit hoher Angriffskomplexität möglich (AV:N/AC:H/PR:L/UI:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Penpot ist ein quelloffenes Design-Werkzeug für die Zusammenarbeit an Design und Code. Vor Version 2.15.0 übergab der Remote-Bildimport eine nutzergesteuerte URL, wodurch Server-Side Request Forgery möglich wird. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 2.15.0 oder neuer aktualisieren.

libp2p ist eine JavaScript-Implementierung des libp2p-Netzwerk-Stacks. Vor Version 16.2.6 kann ein nicht authentifizierter, entfernter Peer den Festplattenspeicher jedes @libp2p/kad-dht-Knotens erschöpfen, der im Server-Modus betrieben wird. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Version 16.2.6 oder neuer.

In der Enterprise-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch beliebigen Code ausführen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Kommandozeilen-Schnittstelle (CLI) von AOS-CX bestehen laut Quelle Pufferüberlauf-Schwachstellen. Eine erfolgreiche Ausnutzung könnte einem entfernten, hoch privilegierten Benutzer die Ausführung von beliebigem Code ermöglichen. Die Schwachstelle ist laut Vektor über das Netzwerk mit hohen Rechten und ohne Nutzerinteraktion ausnutzbar und betrifft Vertraulichkeit, Integrität und Verfügbarkeit vollständig. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Ein fehlerbereinigter Stand sollte gemäss Herstelleradvisory eingespielt werden.

In Eclipse Mojarra ab Version 2.3 bereinigt oder blockiert die URL-Verarbeitung in DefaultFaceletFactory laut NVD Remote-URLs nicht ausreichend. Dadurch kann ein Angreifer eine URL zu einem entfernten Facelet angeben. Weitere Details zu den konkreten Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). In den vorliegenden Quelldaten ist keine Ausnutzungswahrscheinlichkeit (EPSS) angegeben.

Im Netzwerk-Framework Netty besteht laut NVD eine Schwachstelle. Betroffen sind gemäss Quelle die Versionen 4.2.0.Final bis 4.2.15.Final sowie 4.1.0.Final bis 4.1.135.Final. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion durch nicht authentifizierte Angreifer ausnutzbar aus, mit Auswirkung auf die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im SNMP-Subsystem (Simple Network Management Protocol) von Cisco IOS XE Software besteht laut NVD eine Schwachstelle. Ein authentifizierter, entfernter Angreifer kann dadurch einen Neustart des betroffenen Geräts auslösen. CVSS-Basiswert: 7.7 (Hoch).

In sqlite 3.41 besteht in der JSON-Parsing-Logik eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann durch eine präparierte JSON-Nutzlast eine Speicherfreigabe auslösen, gefolgt von einem unzulässigen Speicherzugriff. CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In der V8-Engine von Google Chrome vor Version 150.0.7871.128 besteht laut NVD ein Out-of-Bounds-Lese- und Schreibzugriff. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Google Chrome 150.0.7871.128 oder neuer aktualisieren.

Laut NVD besteht in IBM Langflow OSS (Versionen 1.0.0 bis 1.10.3) eine Schwachstelle, die einem entfernten, authentifizierten Angreifer Zugriff ermöglicht; der Text der Quellbeschreibung bricht vor der Detailbeschreibung ab. CVSS-Basiswert: 8.5 (Hoch). Betroffen ist laut Zuordnung auch SimpleHelp Ltd.

Nimiq ist eine Rust-Implementierung des Nimiq-Proof-of-Stake-Protokolls auf Basis des Albatross-Konsensalgorithmus. In Versionen vor 1.5.0 besteht eine über das Netzwerk und ohne Authentifizierung auslösbare Denial-of-Service-Schwachstelle. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.5.0 oder neuer aktualisieren.

Eine Use-after-free-Schwachstelle in den DevTools von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Laut Chromium-Einstufung handelt es sich um eine Schwachstelle mit mittlerer Sicherheitsrelevanz. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

IBM WebSphere Application Server 9.0 und 8.5 ist über eine Schwachstelle im SOAP/JMX-Connector von Remote-Code-Ausführung betroffen. CVSS-Basiswert: 8.5 (Hoch). Ein EPSS-Wert liegt für diese CVE nicht vor.

Ein Use-after-free-Fehler in der Input-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Chromium stuft den Schweregrad intern als High ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der webbasierten Verwaltungsoberfläche eines ECOS-Geräts besteht eine Schwachstelle, über die ein hoch privilegierter, authentifizierter Angreifer aus der Ferne auf das Dateisystem des Geräts zugreifen kann. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hohen Rechten und ohne Nutzerinteraktion ausnutzbar und gefährdet Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.2 (Hoch).

Remote-Richtlinienreferenzen werden während der Richtliniennormalisierung zwar nicht abgerufen; werden sie jedoch manuell über die API abgerufen, kann das Abrufen einer sehr grossen Richtlinie einen Denial-of-Service-Angriff auslösen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Ein Integer-Underflow in der Funktion dsi_writeinit() von Netatalk 1.5.0 bis 4.4.2 erlaubt einem entfernten, nicht authentifizierten Angreifer einen Denial of Service über eine manipulierte DSI-Write-Anfrage. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Verarbeitung des Blocks Extensible Exchange Protocol (BEEP) von Cisco IOS XE Software besteht laut NVD eine Schwachstelle. Ein nicht authentifizierter, entfernter Angreifer kann dadurch einen Denial-of-Service-Zustand auf einem betroffenen Gerät auslösen. CVSS-Basiswert: 8.6 (Hoch).

IBM WebSphere Application Server 8.5 und 9.0 sowie IBM WebSphere Application Server – Liberty in den Versionen 17.0.0.3 bis 26.0.0.7 (Traditional und Liberty) erlauben es einem entfernten Angreifer, Sicherheitsbeschränkungen zu umgehen. CVSS-Basiswert: 7.5 (Hoch).

Im AWS Bedrock AgentCore Python SDK vor Version 1.18.1 werden Argument-Delimiter in der Methode install_packages() unzureichend neutralisiert. Dadurch kann ein aus der Ferne authentifizierter Benutzer möglicherweise beliebige Befehle ausführen. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Version 1.18.1 oder neuer aktualisieren.

Dell BSAFE SSL-J enthält eine Schwachstelle durch Allokation von Ressourcen ohne Begrenzung oder Drosselung. Ein nicht authentifizierter, entfernter Angreifer könnte dies potenziell ausnutzen, um einen Denial of Service zu verursachen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Oracle E-Business Suite (Produkt Oracle Customer Support, Komponente Update Service Request) besteht eine Schwachstelle; betroffen sind die Versionen 12.2.3 bis 12.2.15. Laut Quellbeschreibung ist die Schwachstelle einfach ausnutzbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: die betroffenen Versionen gemäss Oracle-Advisory aktualisieren.

In der AdFilter-Komponente von Google Chrome vor Version 151.0.7922.72 führt eine unangemessene Implementierung dazu, dass ein entfernter Angreifer über eine präparierte HTML-Seite beliebigen Code innerhalb einer Sandbox ausführen kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer einspielen.

Das Shell-Tool in Amazon Strands Agents Tools vor Version 0.8.0 enthält eine Prompt-Injection-Schwachstelle. Laut Quelle können entfernte Angreifer über präparierte Eingaben beliebige Betriebssystembefehle auf dem Host des Agenten ausführen. CVSS-Basiswert: 8.8 (Hoch). Eine EPSS-Ausnutzungswahrscheinlichkeit liegt in den Quelldaten nicht vor.

In Netatalk 2.1.0 bis 4.4.2 erlaubt eine unvollständige Bereinigung von Pfadbestandteilen erweiterter Attribute (EA) einem entfernten authentifizierten Angreifer, in Dateien ausserhalb des vorgesehenen Metadaten-Namensraums zu schreiben. CVSS-Basiswert: 7.6 (Hoch). Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion möglich (AV:N/AC:L/PR:L/UI:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Apache NiFi unterstützt in den Versionen 1.5.0 bis 2.10.0 gzip-kodierte HTTP-Anfragen an die REST-API über einen Jersey-Encoding-Filter. Laut NVD erzwingt das Framework eine konfigurierbare maximale Anfragegrösse auf die komprimierte Anfrage; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In JetBrains IntelliJ IDEA vor Version 2026.2 war in einer Remote-Development-Sitzung ein unautorisierter Zugriff auf Dateien möglich. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: auf Version 2026.2 aktualisieren.

IBM WebSphere Application Server 9.0 und 8.5 erlauben laut NVD einem entfernten Angreifer, die Authentifizierung durch das Senden einer präparierten, nicht authentifizierten Anfrage zu umgehen. CVSS-Basiswert: 7.0 (Hoch). Betroffen ist laut Produktzuordnung SimpleHelp Ltd. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

IBM PowerVM Novalink ist laut NVD anfällig für einen Denial of Service, der durch eine speziell präparierte Anfrage ausgelöst wird. Ein entfernter Angreifer kann darüber den Server zu übermässigem Speicherverbrauch veranlassen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM DataPower Gateway erlaubt laut Quelldaten einem entfernten Angreifer aufgrund unzureichender Ressourcenbegrenzung, einen Denial of Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Heptabase von Hepta Platforms, Inc. weist eine Stored-Cross-Site-Scripting-Schwachstelle auf. Authentifizierte Angreifer aus der Ferne können dauerhaft schädliche Inhalte in bestimmte Seiten einschleusen. CVSS-Basiswert: 8.7 (Hoch).

In Sourcetree für Mac und Sourcetree für Windows besteht eine als hoch eingestufte Schwachstelle, die Remote Code Execution ermöglicht und laut Quelle mit Version 3.4.11 eingeführt wurde. Laut CVSS-Vektor ist die Lücke über das Netzwerk ausnutzbar, jedoch mit hoher Angriffskomplexität, niedrigen Rechten und erforderlicher Nutzerinteraktion; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Heap-basierter Pufferüberlauf im Windows Routing and Remote Access Service (RRAS) ermöglicht einem bereits authentifizierten Angreifer die lokale Ausweitung von Rechten. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Use-after-free-Fehler in der Extensions-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte Chrome-Erweiterung beliebigen Code innerhalb der Sandbox auszuführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Der in der Kyuubi Engine UI integrierte Proxy übernimmt Host und Port aus dem Anfragepfad und leitet HTTP-Anfragen an dieses Ziel weiter. Ein entfernter Angreifer mit Netzwerkzugriff auf den Proxy kann den Kyuubi-Server dadurch veranlassen, Anfragen an ein von ihm bestimmtes Ziel zu senden. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Balbooa Joomla Forms Builder 2.0.6 enthält eine unauthentifizierte SQL-Injection-Schwachstelle im Handler für Formularübermittlungen. Entfernte Angreifer können dadurch beliebige SQL-Abfragen ausführen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In MCMS v6.1.1 kann ein entfernter Angreifer über den Parameter source an sensible Informationen gelangen. Weitere technische Details liegen in den übernommenen Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM Engineering AI Hub in den Versionen 1.0.0, 1.1.0 und 1.2.0 kann einem entfernten Angreifer die Offenlegung vertraulicher Informationen ermöglichen, weil Session-Token in URLs enthalten sind. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

Netatalk verwendet in den Versionen 1.5.0 bis 4.2.2 im DHCAST128-UAM einen unsicheren kryptografischen Algorithmus. Ein entfernter Angreifer kann durch kryptanalytische Angriffe Authentifizierungsdaten erlangen oder sich als anderer Benutzer ausgeben. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Codecs-Komponente von Google Chrome vor Version 151.0.7922.72 besteht ein Heap-Buffer-Overflow. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

IBM WebSphere Application Server Liberty ist in den Versionen 17.0.0.3 bis 26.0.0.7 anfällig für einen Denial-of-Service-Angriff. Ein entfernter Angreifer kann diese Schwachstelle durch das Senden einer speziell präparierten Anfrage ausnutzen. CVSS-Basiswert: 7.5 (Hoch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 erlaubt es laut NVD entfernten authentifizierten Angreifern, Localhost-only-Beschränkungen zu umgehen und beliebige MCP-Server-Konfigurationen in IDE-Konfigurationsdateien zu schreiben; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen in den übergebenen Daten nicht vor. CVSS-Basiswert: 8.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Neben Langflow / DataStax führt auch SimpleHelp Ltd die Lücke in seinen Advisories.

Laut NVD verarbeitet die Komponente RadAsyncUpload in Progress Telerik UI for AJAX vor Version v2026.2.708 die Upload-Metadaten so, dass sich die kryptografische Gültigkeit über messbare Zeitunterschiede (Timing-Seitenkanal) erkennen lässt. Entfernte Angreifer können dies ausnutzen, um Rückschlüsse auf schützenswerte Werte zu ziehen. Betroffen ist die Vertraulichkeit; der Zugriff ist über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion möglich. CVSS-Basiswert: 7.5 (Hoch).

Ein Use-after-free-Fehler in der V8-JavaScript-Engine von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, potenziell einen Speicherzugriff ausserhalb der vorgesehenen Grenzen über eine präparierte HTML-Seite. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Eine unzureichende Eingabeprüfung in der Funktion SSH Elevate Shell von Devolutions Remote Desktop Manager 2026.2.7 erlaubt einem authentifizierten Benutzer mit Berechtigung zum Erstellen oder Ändern eines gemeinsam genutzten SSH-Eintrags, über einen präparierten alternativen Benutzernamen und Nutzerinteraktion mit der Elevate-Shell-Aktion beliebige Befehle auf einem entfernten SSH-Host mit gespeicherten Elevation-Zugangsdaten auszuführen. CVSS-Basiswert: 8.8 (Hoch).

Laut NVD besteht im http_request-Tool von Strands Agents Tools vor Version 0.8.2 eine fehlerhafte Autorisierung. Dadurch können entfernte Angreifer über eine Beeinflussung des LLM Zugriff auf Zugangsdaten erhalten, die über HTTP_REQUEST_TOKEN_CONFIG konfiguriert sind. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.4 (Hoch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor.