SimpleHelp Remote Support Seite 15

In der USB-Komponente von Google Chrome (vor Version 151.0.7922.72) besteht eine unzureichende Richtliniendurchsetzung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite eine Rechteausweitung durchführen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

SGLang weist eine Schwachstelle zur Exfiltration von Modellgewichten auf, wenn keine API-Keys konfiguriert sind. In diesem Fall stellt SGLang zwei Endpunkte bereit, über die ein entfernter Angreifer verteiltes Weight-Broadcasting auslösen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der terraform-mcp-server vor Version 1.1.0 ist im Streamable-HTTP-Transport laut NVD von einer Server-Side-Request-Forgery-Schwachstelle betroffen. Ein nicht authentifizierter Remote-Client kann dadurch eine Server-Anfrage umleiten. CVSS-Basiswert: 8.6 (Hoch). Betroffen sind laut Produktzuordnung HashiCorp (Vault/Terraform/Consul) sowie SimpleHelp Ltd. Empfohlene Massnahme: auf Version 1.1.0 oder neuer aktualisieren.

In SourceCodester Leave Application System 1.0 wurde eine Schwachstelle in einem unbekannten Teil der Anwendung entdeckt. Durch Manipulation des Arguments page kommt es zu File Inclusion; eine Ausnutzung aus der Ferne ist möglich. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Im Feed ist die Schwachstelle dem überwachten Produktbereich SimpleHelp Ltd zugeordnet.

Der Amazon Bedrock AgentCore Harness validiert laut NVD Eingaben unzureichend, wodurch ein authentifizierter, entfernter Nutzer konfigurierte Tools unter Umgehung der Modellaufruf- und Sicherheitskontrollen ausführen kann; dies geschieht über präparierte Inhalte, die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.1 (Hoch). Eine EPSS-Einstufung liegt in den Quelldaten nicht vor. Als weiterer Produktbezug gemäss Zuordnung ist SimpleHelp genannt.

In Netatalk 3.1.0 bis 4.4.2 erlauben mehrere Heap-Out-of-bounds-Reads im Unmarshalling-Code des Spotlight-RPC einem entfernten, authentifizierten Angreifer, an sensible Informationen zu gelangen oder eine geringfügige Dienststörung auszulösen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffen sind im Feed die überwachten Produktbereiche Light Code Labs und SimpleHelp Ltd. Empfohlene Massnahme: auf eine fehlerbereinigte Netatalk-Version aktualisieren.

In DayuanJiang next-ai-draw-io 0.4.13 besteht eine Cross-Site-Scripting-Schwachstelle, über die ein entfernter Angreifer per mcp-Parameter beliebigen Code ausführen kann. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In SimpleHelp kann ein niedrig privilegierter, entfernter Angreifer laut NVD durch eine fehlerhafte Reihenfolge bei der Verarbeitung präparierter Eingaben einen inkonsistenten Kontostatus auslösen und bestehende Benutzerpasswörter überschreiben; die Quellbeschreibung bricht an dieser Stelle ab. Der CVSS-Vektor (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H) zeigt eine über das Netzwerk mit geringen Rechten ausnutzbare Lücke mit Auswirkung auf Integrität und Verfügbarkeit. CVSS-Basiswert: 8.1 (Hoch).

In der Komponente Input von Google Chrome vor Version 150.0.7871.186 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann darüber mittels einer präparierten HTML-Seite einen Sandbox-Ausbruch versuchen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 150.0.7871.186 oder neuer.

In der Codec-Verarbeitung von Google Chrome vor Version 150.0.7871.186 erlaubt ein Out-of-Bounds-Write einem entfernten Angreifer über eine präparierte HTML-Seite potenziell den Ausbruch aus der Sandbox. Laut Quellbeschreibung stuft Chromium die Schwere als hoch ein (Chromium security severity: High). CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Chrome 150.0.7871.186 oder neuer aktualisieren.

Dell PowerProtect Data Manager enthält in Versionen vor 20.2.0.0 eine Schwachstelle durch die Generierung fehlerhafter Sicherheitstokens (Generation of Incorrect Security Tokens) in der IAM-Komponente. Ein Angreifer mit niedrigen Rechten und entferntem Zugriff könnte diese potenziell ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 20.2.0.0 oder neuer aktualisieren.

Vibe-Trading vor Version 0.1.10 enthält eine DNS-Rebinding-Schwachstelle: Ein entfernter Angreifer kann durch Ausnutzen des serverseitigen Vertrauens in die TCP-Peer-Adresse die Bearer-Token-Authentifizierung umgehen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt. Empfohlene Massnahme: Update auf Vibe-Trading 0.1.10 oder neuer.

Eine Use-after-free-Schwachstelle in der TabStrip-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, potenziell eine Heap-Korruption auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In AWS Ops Wheel besteht vor PR #168 laut NVD eine gespeicherte Cross-Site-Scripting-Schwachstelle in der Verarbeitung der Participant-URL. Ein authentifizierter entfernter Nutzer kann dadurch Session-Tokens stehlen und zu voller administrativer Kontrolle eskalieren. CVSS-Basiswert: 7.3 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In der iOS-Version von Google Chrome vor Version 151.0.7922.72 liegt ein Use-after-free-Fehler vor. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch potenziell einen Heap-Speicherschaden auslösen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Views-Komponente von Google Chrome unter Mac (vor Version 151.0.7922.72) besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite möglicherweise eine Heap-Korruption ausnutzen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

In der Audio-Komponente von Google Chrome auf macOS vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber potenziell einen Sandbox-Escape über eine präparierte HTML-Seite durchführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Dell PowerProtect Data Manager in Versionen vor 20.2.0.0 enthält eine Schwachstelle durch unzureichende Eingabevalidierung (Improper Input Validation). Ein Angreifer mit hohen Privilegien und Fernzugriff könnte sie potenziell ausnutzen; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 20.2.0.0 oder neuer.

Net::BitTorrent bis Version 2.1.0 für Perl erlaubt eine entfernte Speichererschöpfung über einen ungedeckelten Längen-Präfix in Peer-Wire-Nachrichten. Die Framing-Logik in _process_messages vertraut dem 4-Byte-Längenpräfix ohne Begrenzung. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Net::BitTorrent bis Version 2.1.0 für Perl erlaubt eine entfernte Speichererschöpfung über tief verschachtelte bencodierte Eingaben. Die Funktion bdecode ruft sich pro verschachtelter Liste oder Dictionary-Ebene ohne Tiefenbegrenzung selbst auf, sodass präparierte Eingaben die Ressourcen erschöpfen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In SimpleHelp kann ein niedrig privilegierter, entfernter Angreifer aufgrund einer fehlerhaften Autorisierungsprüfung administrative Konfigurationsänderungen vornehmen, die eigentlich der Administratorebene vorbehalten sind, einschliesslich der Verwaltung von Berechtigungen. CVSS-Basiswert: 8.8 (Hoch).

In SimpleHelp fehlt am Insert-Pfad der Konfigurationstabelle eine Autorisierungsprüfung. Ein niedrig privilegierter, entfernter Angreifer kann diese Lücke ausnutzen, um Administratorrechte zu erlangen und vollständigen Zugriff auf das System zu erhalten. CVSS-Basiswert: 8.8 (Hoch).

rclone, ein Kommandozeilen-Programm zum Synchronisieren von Dateien und Verzeichnissen mit verschiedenen Cloud-Storage-Anbietern, interpoliert vor Version 1.75.0 laut NVD entfernte SFTP-Pfade in PowerShell-Hash-Befehle. Als betroffen sind in der Zuordnung Produkte von HPE Storage, IBM Storage, Pure Storage und SimpleHelp Ltd ausgewiesen. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Update auf rclone 1.75.0 oder neuer.

Rsync ist ein Werkzeug zum Kopieren von Dateien mit einem Delta-Transfer-Algorithmus zur Synchronisation lokaler und entfernter Dateien. In Versionen vor 3.4.3 sammelt laut NVD der Decoder für komprimierte Tokens auf der Empfängerseite einen vorzeichenbehafteten 32-Bit-Wert an, was die Schwachstelle auslöst. CVSS-Basiswert: 8.1 (Hoch).

Eine Use-after-free-Schwachstelle in PDFium, der PDF-Rendering-Komponente von Google Chrome vor Version 151.0.7922.72, erlaubt es einem entfernten Angreifer, über eine präparierte PDF-Datei beliebigen Code innerhalb der Sandbox auszuführen. Chromium stuft den Sicherheitsschweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der Sync-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-Free-Schwachstelle. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch beliebigen Code innerhalb der Sandbox ausführen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der V8-Engine von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

In der JavaScript-Engine V8 von Google Chrome besteht vor Version 151.0.7922.72 eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

GitPython vor Version 3.1.52 ist anfällig für die Exfiltration von Umgebungsvariablen in Repo.clone_from(). Eine vom Aufrufer übergebene Remote-URL wird durch Git.polish_url() geleitet, welche auf Nicht-Cygwin-Plattformen eine entsprechende Verarbeitung aufruft, wodurch sensible Umgebungsdaten preisgegeben werden können. CVSS-Basiswert: 7.5 (Hoch).

JuiceFS bis Version 1.3.1 enthält eine Schwachstelle zur Umgehung der Authentifizierung, die es nicht authentifizierten Angreifern aus der Ferne erlaubt, auf sensible Debug- und Metrik-Endpunkte zuzugreifen. Behoben im Commit a46979c. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In exo-explore exo 1.0.69 ermöglicht ein Fehler einem entfernten Angreifer laut Quelle eine Rechteausweitung über die Endpunkte GET /state und DELETE /instance/{instance_id} ohne Authentifizierung. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion und gefährdet die Verfügbarkeit. Die Ausnutzungswahrscheinlichkeit (EPSS) beträgt 0.3 %. Ein fehlerbereinigter Stand sollte eingespielt werden.

In feast-dev/feast Version 0.53.0 besteht eine hochgradige Schwachstelle für Remote Code Execution im Kubernetes-Materializer-Job (feast/sdk/python/feast/infra/compute_engines). CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle im Avira Password Manager kann bei Verwendung mit Mozilla Firefox einem entfernten Angreifer, der ein Cross-Origin-iframe betreibt, den Zugriff auf Zugangsdaten ermöglichen, die für die übergeordnete Seite automatisch ausgefüllt werden. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der WebView-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 besteht ein Fehler im Objekt-Lebenszyklus. Ein entfernter Angreifer mit kompromittiertem Renderer-Prozess kann dadurch potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Media-Komponente von Google Chrome unter Windows vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber möglicherweise über eine präparierte HTML-Seite einen Sandbox-Escape durchführen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein nicht authentifizierter Angreifer aus der Ferne kann ein System zwingen, auf eine Firmware-Partition mit unsicherer Konfiguration inklusive Standard-Zugangsdaten zurückzufallen. Dies kann laut Quelle einen SSH-Zugriff des Angreifers ermöglichen. CVSS-Basiswert: 8.6 (Hoch).

IBM WebSphere Application Server erlaubt in den Versionen 9.0 sowie 8.5 traditional einem entfernten Angreifer, sensible Informationen offenzulegen. Laut CVSS-Vektor ist für den Angriff hohe Angriffskomplexität (AC:H) erforderlich, jedoch keine Nutzerinteraktion. CVSS-Basiswert: 7.4 (Hoch).

In der Ozone-Komponente von Google Chrome unter Linux vor Version 150.0.7871.128 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, könnte darüber eine Heap-Korruption ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 150.0.7871.128 oder neuer aktualisieren.

In der UI-Komponente von Google Chrome unter Linux vor Version 150.0.7871.125 besteht ein Use-after-Free, das einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, potenziell die Ausnutzung von Heap-Korruption ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

In Franco Corbelli ZPAQFRANZ v61.3 und früher kann ein entfernter Angreifer durch Umgehung des Mark-of-the-Web-Schutzmechanismus seine Rechte ausweiten und beliebigen Code ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In fog-kubevirt besteht eine Schwachstelle, die einem entfernten Angreifer aufgrund deaktivierter Zertifikatsprüfung einen Man-in-the-Middle-Angriff (MITM) ermöglicht. Dadurch kann der Angreifer die Kommunikation abfangen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der BFCache-Komponente von Google Chrome werden vor Version 151.0.7922.72 nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann dadurch möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Der VMware Avi Load Balancer enthält eine Schwachstelle zur Rechteausweitung. Ein authentifizierter Angreifer mit Netzwerkzugriff kann laut Quellbeschreibung Schadcode aus der Ferne ausführen. Betroffen ist Version 32.1.1; laut Quelle wurde die Schwachstelle in einer nachfolgenden 32.1-Version behoben. CVSS-Basiswert: 7.1 (Hoch). Der CVSS-Vektor weist auf einen netzbasierten Angriff mit niedrigen Rechten und ohne Benutzerinteraktion mit hoher Auswirkung auf die Vertraulichkeit hin. Empfohlene Massnahme: auf die korrigierte Version aktualisieren.

Im aap-gateway, einer Komponente von Event-Driven Ansible (EDA) der Ansible Automation Platform, ermöglicht ein Fehler einem nicht authentifizierten entfernten Angreifer, die auf mTLS (mutual Transport Layer Security) basierende Authentifizierung zu umgehen. CVSS-Basiswert: 8.2 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der Speech-Komponente von Google Chrome auf Android (vor Version 151.0.7922.72) ermöglicht eine unzureichende Richtliniendurchsetzung einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, eine Rechteausweitung. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer einspielen.

Laut NVD erlaubt ein Problem in open62541 Version 1.5.5 und früher einem entfernten Angreifer, über präparierte CreateSubscription-, CreateMonitoredItems(Sampling)-, Publish-, TransferSubscriptions- und weiteren Nachrichtentypen einen Denial of Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Jinher OA C6 weist eine XML External Entity (XXE)-Injection-Schwachstelle im Endpoint /c6/JHSoft.Web.HrmAttendance/sp_manager_getUserlist.aspx/GetXmlHttp auf. Ein nicht authentifizierter Angreifer kann sie aus der Ferne ausnutzen; weitere Details zur Auswirkung liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der WebRTC-Komponente von Google Chrome vor Version 151.0.7922.72 liegt ein Heap-Buffer-Overflow vor. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch einen Speicherzugriff ausserhalb der vorgesehenen Grenzen auslösen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Views-Komponente von Google Chrome auf Linux vor Version 151.0.7922.72 besteht eine Use-after-Free-Schwachstelle. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch potenziell eine Heap-Korruption auslösen. Chromium stuft den internen Sicherheitsschweregrad als Medium ein, der CVSS-Basiswert liegt bei 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der WebRTC-Komponente von Google Chrome (vor Version 151.0.7922.72) besteht ein Fehler in der Objekt-Lebenszyklusverwaltung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite eine Heap-Corruption auslösen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.