SimpleHelp Remote Support Seite 15

In der Network-Komponente von Google Chrome besteht vor Version 151.0.7922.72 eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der GPU-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erfolgt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann dadurch potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Im WordPress-Plugin Mikado Core von Mikado-Themes besteht eine unzureichende Kontrolle des Dateinamens bei Include-/Require-Anweisungen (PHP Remote File Inclusion), die eine PHP Local File Inclusion ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Das Plugin auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

In der Software labtechco von themeStek LabtechCO besteht eine Schwachstelle durch unsachgemässe Kontrolle des Dateinamens in Include-/Require-Anweisungen (PHP Remote File Inclusion), die eine PHP Local File Inclusion ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine unzureichende Kontrolle des Dateinamens in Include-/Require-Anweisungen (PHP Remote File Inclusion) in kutethemes Boutique kute-boutique erlaubt PHP Local File Inclusion. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Im Feed ist die Schwachstelle den überwachten Produktbereichen PHP und SimpleHelp Ltd zugeordnet.

Im WordPress-Theme KuteShop von kutethemes besteht eine unzureichende Kontrolle des Dateinamens in Include-/Require-Anweisungen (PHP Remote File Inclusion), die eine PHP Local File Inclusion ermöglicht. Dadurch können lokale Dateien in die Ausführung eingebunden werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Auf eine bereinigte Version des Themes aktualisieren, sobald verfügbar.

Im WordPress-Theme Biolife von kutethemes besteht eine unzureichende Kontrolle des Dateinamens bei Include-/Require-Anweisungen (PHP Remote File Inclusion), die eine PHP Local File Inclusion ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Das Theme auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

In der Software Emphires von Creatives_Planet besteht eine Schwachstelle durch unsachgemässe Kontrolle des Dateinamens in Include-/Require-Anweisungen (PHP Remote File Inclusion), die eine PHP Local File Inclusion ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im WordPress-Theme Freeio von ApusTheme besteht eine unzureichende Kontrolle des Dateinamens in Include-/Require-Anweisungen (PHP Remote File Inclusion), die eine PHP Local File Inclusion ermöglicht. Dadurch können lokale Dateien in die Ausführung eingebunden werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Auf eine bereinigte Version des Themes aktualisieren, sobald verfügbar.

Eine unsachgemässe Kontrolle des Dateinamens in einer Include-/Require-Anweisung (PHP Remote File Inclusion) im Theme ApusTheme Homeo ermöglicht eine PHP Local File Inclusion. Betroffen ist das Produkt Homeo. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine bereinigte Version des Themes aktualisieren, sobald verfügbar.

Im WordPress-Theme OrganicFood von UnTheme besteht eine unzureichende Kontrolle des Dateinamens bei Include-/Require-Anweisungen (PHP Remote File Inclusion), die eine PHP Local File Inclusion ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Das Theme auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

In Amazon Braket SDK vor Version 1.117.0 erlaubt eine unsichere Deserialisierung in der Komponente zur Verarbeitung von Job-Ergebnissen einem entfernten, authentifizierten Nutzer mit S3-Schreibzugriff auf den Job-Ausgabe-Bucket die Ausführung beliebigen Codes. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 1.117.0 oder neuer aktualisieren.

Das Smart Video Intercom System von Kingdom Communication Associated weist eine fehlende Schutzmassnahme gegen Brute-Force-Angriffe auf. Nicht authentifizierte Angreifer aus der Ferne können sich dadurch Zugriff auf gültige Konten verschaffen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Ein Ransomware-Bezug ist nicht bekannt.

Eine unzureichende Eingabevalidierung im dashboards-observability-Plugin von OpenSearch Dashboards erlaubt einem remote authentifizierten Nutzer mit Schreibrechten auf gespeicherte Objekte die Ausführung von beliebigem Code. Die Schwachstelle erfordert niedrige Rechte und eine Nutzerinteraktion. CVSS-Basiswert: 8.7 (Hoch).

In Eclipse Milo in den Versionen 0.6.0 bis 1.1.4 geben die UASC-Server-Transport-Handler zurückgehaltene, unvollständige Nachrichtenfragmente beim Verbindungsabbruch eines Kanals nicht frei, wodurch ein entfernter, nicht authentifizierter Client die Ressourcen des Systems erschöpfen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine SQL-Injection im MySQL-CNID-Backend von Netatalk 3.1.0 bis 4.4.2 erlaubt einem entfernten, authentifizierten Angreifer unautorisierten Zugriff auf Daten, deren Veränderung oder das Auslösen eines Denial of Service. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Netatalk-Version aktualisieren.

In der Skia-Komponente von Google Chrome auf dem Mac vor Version 151.0.7922.72 liegt eine Race Condition vor. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch beliebigen Code innerhalb der Sandbox ausführen. Chromium stuft den Sicherheitsschweregrad intern als High ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In den TheGem Theme Elements für Elementor (thegem-elements-elementor) von CodexThemes besteht eine Schwachstelle durch unzureichende Kontrolle des Dateinamens in Include/Require-Anweisungen eines PHP-Programms (PHP Remote File Inclusion). CVSS-Basiswert: 7.5 (Hoch), Vektor CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: betroffene Komponenten auf eine bereinigte Version aktualisieren.

Ein Integer-Overflow in der WebXR-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Das betroffene Produkt ist über eine manipulierte MMS-Initiate-Anfrage für einen heap-basierten Buffer Overflow anfällig. Bei deaktiviertem ASLR wurde Remote Code Execution (RCE) demonstriert; andernfalls sind Speicherkorruption oder ein Denial of Service möglich. CVSS-Basiswert: 8.1 (Hoch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 erlaubt einem entfernten Angreifer aufgrund unzureichender Pfadvalidierung das Durchqueren von Verzeichnissen (Path Traversal). CVSS-Basiswert: 7.7 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Betroffen ist laut Zuordnung ausserdem der überwachte Produktbereich SimpleHelp Ltd.

In IBM WebSphere Application Server 8.5 und 9.0 (traditional) kann ein entfernter Angreifer durch unsichere Deserialisierung nicht vertrauenswürdiger Daten beliebigen Code ausführen. CVSS-Basiswert: 8.1 (Hoch).

In der JavaScript-Engine V8 von Google Chrome besteht vor Version 151.0.7922.72 eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. Chromium stuft den Schweregrad intern als High ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

phpUploader vor Version 2.0.2 enthält eine unauthentifizierte Information-Disclosure-Schwachstelle: Ein entfernter Angreifer kann durch Aufruf einer beliebigen Seite auf den vollständigen Inhalt der Datenbanktabelle mit hochgeladenen Dateien zugreifen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt. Empfohlene Massnahme: Update auf phpUploader 2.0.2 oder neuer.

Im JSON-Pointer-zu-Accessor-Compiler von Cribl Stream vor Version 4.18.2 besteht eine unzureichende Kontrolle der Codegenerierung (Improper Control of Generation of Code). Laut Quelldaten kann ein entfernter, authentifizierter Angreifer mit Bearbeitungsrechten dadurch beliebigen JavaScript-Code zur Ausführung bringen. CVSS-Basiswert: 8.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

oras-go ist eine Go-Bibliothek zur Verwaltung von OCI-Artefakten. In Versionen vor 2.6.1 folgt die Funktion blobStore.completePushAfterInitialPost in registry/remote/repository.go einem von der Registry kontrollierten Location-Header. Die Schwachstelle ist laut CVSS-Vektor ohne Authentifizierung über das Netzwerk ausnutzbar und betrifft die Vertraulichkeit (AV:N/PR:N/C:H). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf die fehlerbereinigte Version aktualisieren.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 erlaubt einem entfernten authentifizierten Angreifer aufgrund einer Code-Injection die Ausführung beliebigen Codes. CVSS-Basiswert: 8.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Betroffen sind laut Zuordnung ausserdem die überwachten Produktbereiche SimpleHelp Ltd und Light Code Labs (Caddy).

In IBM Langflow OSS (Versionen 1.0.0 bis 1.10.3) besteht laut NVD eine Schwachstelle, die durch unzureichende Kontrolle von Benutzereingaben verursacht wird. Ein entfernter Angreifer kann dadurch beliebigen Code auf dem System einschleusen. CVSS-Basiswert: 8.8 (Hoch).

Mehrere Schwachstellen in Snowflake libsnowflakeclient vor Version 2.9.2 können entfernte Codeausführung und das Abfliessen von Zugangsdaten ermöglichen. Beschrieben ist unter anderem ein Stack-basierter Pufferüberlauf in der Datei-Download-Funktion. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Snowflake libsnowflakeclient 2.9.2 aktualisieren.

In Netatalk 3.1.4 bis 4.4.2 erlaubt ein Logikfehler im Zusammenhang mit bitweisen OR-Operationen einem entfernten, authentifizierten Angreifer das Einschleusen von Betriebssystembefehlen und damit die Ausführung beliebigen Codes. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Navigation-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber möglicherweise über eine präparierte HTML-Seite einen Sandbox-Escape durchführen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Netatalk 2.0.4 bis 4.4.2 erlaubt eine fehlende Längenprüfung der Ausgabe in pull_charset_flags() einem entfernten authentifizierten Angreifer, über manipulierte Eingaben beliebigen Code auszuführen oder einen Denial of Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion, jedoch mit hoher Angriffskomplexität möglich (AV:N/AC:H/PR:L/UI:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Penpot ist ein quelloffenes Design-Werkzeug für die Zusammenarbeit an Design und Code. Vor Version 2.15.0 übergab der Remote-Bildimport eine nutzergesteuerte URL, wodurch Server-Side Request Forgery möglich wird. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 2.15.0 oder neuer aktualisieren.

libp2p ist eine JavaScript-Implementierung des libp2p-Netzwerk-Stacks. Vor Version 16.2.6 kann ein nicht authentifizierter, entfernter Peer den Festplattenspeicher jedes @libp2p/kad-dht-Knotens erschöpfen, der im Server-Modus betrieben wird. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Version 16.2.6 oder neuer.

In der Enterprise-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch beliebigen Code ausführen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Kommandozeilen-Schnittstelle (CLI) von AOS-CX bestehen laut Quelle Pufferüberlauf-Schwachstellen. Eine erfolgreiche Ausnutzung könnte einem entfernten, hoch privilegierten Benutzer die Ausführung von beliebigem Code ermöglichen. Die Schwachstelle ist laut Vektor über das Netzwerk mit hohen Rechten und ohne Nutzerinteraktion ausnutzbar und betrifft Vertraulichkeit, Integrität und Verfügbarkeit vollständig. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Ein fehlerbereinigter Stand sollte gemäss Herstelleradvisory eingespielt werden.

In Eclipse Mojarra ab Version 2.3 bereinigt oder blockiert die URL-Verarbeitung in DefaultFaceletFactory laut NVD Remote-URLs nicht ausreichend. Dadurch kann ein Angreifer eine URL zu einem entfernten Facelet angeben. Weitere Details zu den konkreten Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). In den vorliegenden Quelldaten ist keine Ausnutzungswahrscheinlichkeit (EPSS) angegeben.

Im Netzwerk-Framework Netty besteht laut NVD eine Schwachstelle. Betroffen sind gemäss Quelle die Versionen 4.2.0.Final bis 4.2.15.Final sowie 4.1.0.Final bis 4.1.135.Final. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion durch nicht authentifizierte Angreifer ausnutzbar aus, mit Auswirkung auf die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im SNMP-Subsystem (Simple Network Management Protocol) von Cisco IOS XE Software besteht laut NVD eine Schwachstelle. Ein authentifizierter, entfernter Angreifer kann dadurch einen Neustart des betroffenen Geräts auslösen. CVSS-Basiswert: 7.7 (Hoch).

In sqlite 3.41 besteht in der JSON-Parsing-Logik eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann durch eine präparierte JSON-Nutzlast eine Speicherfreigabe auslösen, gefolgt von einem unzulässigen Speicherzugriff. CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In der V8-Engine von Google Chrome vor Version 150.0.7871.128 besteht laut NVD ein Out-of-Bounds-Lese- und Schreibzugriff. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Google Chrome 150.0.7871.128 oder neuer aktualisieren.

Laut NVD besteht in IBM Langflow OSS (Versionen 1.0.0 bis 1.10.3) eine Schwachstelle, die einem entfernten, authentifizierten Angreifer Zugriff ermöglicht; der Text der Quellbeschreibung bricht vor der Detailbeschreibung ab. CVSS-Basiswert: 8.5 (Hoch). Betroffen ist laut Zuordnung auch SimpleHelp Ltd.

Nimiq ist eine Rust-Implementierung des Nimiq-Proof-of-Stake-Protokolls auf Basis des Albatross-Konsensalgorithmus. In Versionen vor 1.5.0 besteht eine über das Netzwerk und ohne Authentifizierung auslösbare Denial-of-Service-Schwachstelle. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.5.0 oder neuer aktualisieren.

Eine Use-after-free-Schwachstelle in den DevTools von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Laut Chromium-Einstufung handelt es sich um eine Schwachstelle mit mittlerer Sicherheitsrelevanz. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

IBM WebSphere Application Server 9.0 und 8.5 ist über eine Schwachstelle im SOAP/JMX-Connector von Remote-Code-Ausführung betroffen. CVSS-Basiswert: 8.5 (Hoch). Ein EPSS-Wert liegt für diese CVE nicht vor.

Ein Use-after-free-Fehler in der Input-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Chromium stuft den Schweregrad intern als High ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

open62541 1.5.5 enthält laut NVD einen Pufferüberlauf in der High-Level-Attributleselogik in src/client/ua_client_highlevel.c. Dies erlaubt einem entfernten Angreifer, einen Denial of Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der webbasierten Verwaltungsoberfläche eines ECOS-Geräts besteht eine Schwachstelle, über die ein hoch privilegierter, authentifizierter Angreifer aus der Ferne auf das Dateisystem des Geräts zugreifen kann. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hohen Rechten und ohne Nutzerinteraktion ausnutzbar und gefährdet Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.2 (Hoch).

Remote-Richtlinienreferenzen werden während der Richtliniennormalisierung zwar nicht abgerufen; werden sie jedoch manuell über die API abgerufen, kann das Abrufen einer sehr grossen Richtlinie einen Denial-of-Service-Angriff auslösen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Ein Integer-Underflow in der Funktion dsi_writeinit() von Netatalk 1.5.0 bis 4.4.2 erlaubt einem entfernten, nicht authentifizierten Angreifer einen Denial of Service über eine manipulierte DSI-Write-Anfrage. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.