SimpleHelp Remote Support Seite 16

In der Verarbeitung des Blocks Extensible Exchange Protocol (BEEP) von Cisco IOS XE Software besteht laut NVD eine Schwachstelle. Ein nicht authentifizierter, entfernter Angreifer kann dadurch einen Denial-of-Service-Zustand auf einem betroffenen Gerät auslösen. CVSS-Basiswert: 8.6 (Hoch).

IBM WebSphere Application Server 8.5 und 9.0 sowie IBM WebSphere Application Server – Liberty in den Versionen 17.0.0.3 bis 26.0.0.7 (Traditional und Liberty) erlauben es einem entfernten Angreifer, Sicherheitsbeschränkungen zu umgehen. CVSS-Basiswert: 7.5 (Hoch).

Im AWS Bedrock AgentCore Python SDK vor Version 1.18.1 werden Argument-Delimiter in der Methode install_packages() unzureichend neutralisiert. Dadurch kann ein aus der Ferne authentifizierter Benutzer möglicherweise beliebige Befehle ausführen. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Version 1.18.1 oder neuer aktualisieren.

Dell BSAFE SSL-J enthält eine Schwachstelle durch Allokation von Ressourcen ohne Begrenzung oder Drosselung. Ein nicht authentifizierter, entfernter Angreifer könnte dies potenziell ausnutzen, um einen Denial of Service zu verursachen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Oracle E-Business Suite (Produkt Oracle Customer Support, Komponente Update Service Request) besteht eine Schwachstelle; betroffen sind die Versionen 12.2.3 bis 12.2.15. Laut Quellbeschreibung ist die Schwachstelle einfach ausnutzbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: die betroffenen Versionen gemäss Oracle-Advisory aktualisieren.

In der AdFilter-Komponente von Google Chrome vor Version 151.0.7922.72 führt eine unangemessene Implementierung dazu, dass ein entfernter Angreifer über eine präparierte HTML-Seite beliebigen Code innerhalb einer Sandbox ausführen kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer einspielen.

Das Shell-Tool in Amazon Strands Agents Tools vor Version 0.8.0 enthält eine Prompt-Injection-Schwachstelle. Laut Quelle können entfernte Angreifer über präparierte Eingaben beliebige Betriebssystembefehle auf dem Host des Agenten ausführen. CVSS-Basiswert: 8.8 (Hoch). Eine EPSS-Ausnutzungswahrscheinlichkeit liegt in den Quelldaten nicht vor.

In Netatalk 2.1.0 bis 4.4.2 erlaubt eine unvollständige Bereinigung von Pfadbestandteilen erweiterter Attribute (EA) einem entfernten authentifizierten Angreifer, in Dateien ausserhalb des vorgesehenen Metadaten-Namensraums zu schreiben. CVSS-Basiswert: 7.6 (Hoch). Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion möglich (AV:N/AC:L/PR:L/UI:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Apache NiFi unterstützt in den Versionen 1.5.0 bis 2.10.0 gzip-kodierte HTTP-Anfragen an die REST-API über einen Jersey-Encoding-Filter. Laut NVD erzwingt das Framework eine konfigurierbare maximale Anfragegrösse auf die komprimierte Anfrage; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In JetBrains IntelliJ IDEA vor Version 2026.2 war in einer Remote-Development-Sitzung ein unautorisierter Zugriff auf Dateien möglich. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: auf Version 2026.2 aktualisieren.

IBM WebSphere Application Server 9.0 und 8.5 erlauben laut NVD einem entfernten Angreifer, die Authentifizierung durch das Senden einer präparierten, nicht authentifizierten Anfrage zu umgehen. CVSS-Basiswert: 7.0 (Hoch). Betroffen ist laut Produktzuordnung SimpleHelp Ltd. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

IBM PowerVM Novalink ist laut NVD anfällig für einen Denial of Service, der durch eine speziell präparierte Anfrage ausgelöst wird. Ein entfernter Angreifer kann darüber den Server zu übermässigem Speicherverbrauch veranlassen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM DataPower Gateway erlaubt laut Quelldaten einem entfernten Angreifer aufgrund unzureichender Ressourcenbegrenzung, einen Denial of Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Heptabase von Hepta Platforms, Inc. weist eine Stored-Cross-Site-Scripting-Schwachstelle auf. Authentifizierte Angreifer aus der Ferne können dauerhaft schädliche Inhalte in bestimmte Seiten einschleusen. CVSS-Basiswert: 8.7 (Hoch).

In Sourcetree für Mac und Sourcetree für Windows besteht eine als hoch eingestufte Schwachstelle, die Remote Code Execution ermöglicht und laut Quelle mit Version 3.4.11 eingeführt wurde. Laut CVSS-Vektor ist die Lücke über das Netzwerk ausnutzbar, jedoch mit hoher Angriffskomplexität, niedrigen Rechten und erforderlicher Nutzerinteraktion; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Heap-basierter Pufferüberlauf im Windows Routing and Remote Access Service (RRAS) ermöglicht einem bereits authentifizierten Angreifer die lokale Ausweitung von Rechten. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Use-after-free-Fehler in der Extensions-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte Chrome-Erweiterung beliebigen Code innerhalb der Sandbox auszuführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Der in der Kyuubi Engine UI integrierte Proxy übernimmt Host und Port aus dem Anfragepfad und leitet HTTP-Anfragen an dieses Ziel weiter. Ein entfernter Angreifer mit Netzwerkzugriff auf den Proxy kann den Kyuubi-Server dadurch veranlassen, Anfragen an ein von ihm bestimmtes Ziel zu senden. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Balbooa Joomla Forms Builder 2.0.6 enthält eine unauthentifizierte SQL-Injection-Schwachstelle im Handler für Formularübermittlungen. Entfernte Angreifer können dadurch beliebige SQL-Abfragen ausführen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In MCMS v6.1.1 kann ein entfernter Angreifer über den Parameter source an sensible Informationen gelangen. Weitere technische Details liegen in den übernommenen Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM Engineering AI Hub in den Versionen 1.0.0, 1.1.0 und 1.2.0 kann einem entfernten Angreifer die Offenlegung vertraulicher Informationen ermöglichen, weil Session-Token in URLs enthalten sind. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

Netatalk verwendet in den Versionen 1.5.0 bis 4.2.2 im DHCAST128-UAM einen unsicheren kryptografischen Algorithmus. Ein entfernter Angreifer kann durch kryptanalytische Angriffe Authentifizierungsdaten erlangen oder sich als anderer Benutzer ausgeben. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Codecs-Komponente von Google Chrome vor Version 151.0.7922.72 besteht ein Heap-Buffer-Overflow. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

IBM WebSphere Application Server Liberty ist in den Versionen 17.0.0.3 bis 26.0.0.7 anfällig für einen Denial-of-Service-Angriff. Ein entfernter Angreifer kann diese Schwachstelle durch das Senden einer speziell präparierten Anfrage ausnutzen. CVSS-Basiswert: 7.5 (Hoch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 erlaubt es laut NVD entfernten authentifizierten Angreifern, Localhost-only-Beschränkungen zu umgehen und beliebige MCP-Server-Konfigurationen in IDE-Konfigurationsdateien zu schreiben; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen in den übergebenen Daten nicht vor. CVSS-Basiswert: 8.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Neben Langflow / DataStax führt auch SimpleHelp Ltd die Lücke in seinen Advisories.

Laut NVD verarbeitet die Komponente RadAsyncUpload in Progress Telerik UI for AJAX vor Version v2026.2.708 die Upload-Metadaten so, dass sich die kryptografische Gültigkeit über messbare Zeitunterschiede (Timing-Seitenkanal) erkennen lässt. Entfernte Angreifer können dies ausnutzen, um Rückschlüsse auf schützenswerte Werte zu ziehen. Betroffen ist die Vertraulichkeit; der Zugriff ist über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion möglich. CVSS-Basiswert: 7.5 (Hoch).

Ein Use-after-free-Fehler in der V8-JavaScript-Engine von Google Chrome vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, potenziell einen Speicherzugriff ausserhalb der vorgesehenen Grenzen über eine präparierte HTML-Seite. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Eine unzureichende Eingabeprüfung in der Funktion SSH Elevate Shell von Devolutions Remote Desktop Manager 2026.2.7 erlaubt einem authentifizierten Benutzer mit Berechtigung zum Erstellen oder Ändern eines gemeinsam genutzten SSH-Eintrags, über einen präparierten alternativen Benutzernamen und Nutzerinteraktion mit der Elevate-Shell-Aktion beliebige Befehle auf einem entfernten SSH-Host mit gespeicherten Elevation-Zugangsdaten auszuführen. CVSS-Basiswert: 8.8 (Hoch).

Laut NVD besteht im http_request-Tool von Strands Agents Tools vor Version 0.8.2 eine fehlerhafte Autorisierung. Dadurch können entfernte Angreifer über eine Beeinflussung des LLM Zugriff auf Zugangsdaten erhalten, die über HTTP_REQUEST_TOKEN_CONFIG konfiguriert sind. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.4 (Hoch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

In der USB-Komponente von Google Chrome (vor Version 151.0.7922.72) besteht eine unzureichende Richtliniendurchsetzung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite eine Rechteausweitung durchführen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

SGLang weist eine Schwachstelle zur Exfiltration von Modellgewichten auf, wenn keine API-Keys konfiguriert sind. In diesem Fall stellt SGLang zwei Endpunkte bereit, über die ein entfernter Angreifer verteiltes Weight-Broadcasting auslösen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der terraform-mcp-server vor Version 1.1.0 ist im Streamable-HTTP-Transport laut NVD von einer Server-Side-Request-Forgery-Schwachstelle betroffen. Ein nicht authentifizierter Remote-Client kann dadurch eine Server-Anfrage umleiten. CVSS-Basiswert: 8.6 (Hoch). Betroffen sind laut Produktzuordnung HashiCorp (Vault/Terraform/Consul) sowie SimpleHelp Ltd. Empfohlene Massnahme: auf Version 1.1.0 oder neuer aktualisieren.

FFmpeg in den Versionen 2.7 bis 8.1.2 enthält eine Out-of-Bounds-Write-Schwachstelle im TDSC-Video-Decoder. Ein entfernter Angreifer kann durch eine präparierte AVI-Datei eine Heap-Beschädigung auslösen. CVSS-Basiswert: 7.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf eine nicht betroffene FFmpeg-Version einspielen.

In SourceCodester Leave Application System 1.0 wurde eine Schwachstelle in einem unbekannten Teil der Anwendung entdeckt. Durch Manipulation des Arguments page kommt es zu File Inclusion; eine Ausnutzung aus der Ferne ist möglich. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Im Feed ist die Schwachstelle dem überwachten Produktbereich SimpleHelp Ltd zugeordnet.

Der Amazon Bedrock AgentCore Harness validiert laut NVD Eingaben unzureichend, wodurch ein authentifizierter, entfernter Nutzer konfigurierte Tools unter Umgehung der Modellaufruf- und Sicherheitskontrollen ausführen kann; dies geschieht über präparierte Inhalte, die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.1 (Hoch). Eine EPSS-Einstufung liegt in den Quelldaten nicht vor. Als weiterer Produktbezug gemäss Zuordnung ist SimpleHelp genannt.

In Netatalk 3.1.0 bis 4.4.2 erlauben mehrere Heap-Out-of-bounds-Reads im Unmarshalling-Code des Spotlight-RPC einem entfernten, authentifizierten Angreifer, an sensible Informationen zu gelangen oder eine geringfügige Dienststörung auszulösen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffen sind im Feed die überwachten Produktbereiche Light Code Labs und SimpleHelp Ltd. Empfohlene Massnahme: auf eine fehlerbereinigte Netatalk-Version aktualisieren.

In DayuanJiang next-ai-draw-io 0.4.13 besteht eine Cross-Site-Scripting-Schwachstelle, über die ein entfernter Angreifer per mcp-Parameter beliebigen Code ausführen kann. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In SimpleHelp kann ein niedrig privilegierter, entfernter Angreifer laut NVD durch eine fehlerhafte Reihenfolge bei der Verarbeitung präparierter Eingaben einen inkonsistenten Kontostatus auslösen und bestehende Benutzerpasswörter überschreiben; die Quellbeschreibung bricht an dieser Stelle ab. Der CVSS-Vektor (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H) zeigt eine über das Netzwerk mit geringen Rechten ausnutzbare Lücke mit Auswirkung auf Integrität und Verfügbarkeit. CVSS-Basiswert: 8.1 (Hoch).

In der Komponente Input von Google Chrome vor Version 150.0.7871.186 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann darüber mittels einer präparierten HTML-Seite einen Sandbox-Ausbruch versuchen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 150.0.7871.186 oder neuer.

In der Codec-Verarbeitung von Google Chrome vor Version 150.0.7871.186 erlaubt ein Out-of-Bounds-Write einem entfernten Angreifer über eine präparierte HTML-Seite potenziell den Ausbruch aus der Sandbox. Laut Quellbeschreibung stuft Chromium die Schwere als hoch ein (Chromium security severity: High). CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Chrome 150.0.7871.186 oder neuer aktualisieren.

open62541 enthält im GDS-PushManagement-Workflow für Zertifikatsupdates einen Heap-Use-after-free, sofern die Option UA_ENABLE_GDS_PUSHMANAGEMENT aktiviert ist. Dies ermöglicht einem entfernten Angreifer, einen Denial-of-Service auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Dell PowerProtect Data Manager enthält in Versionen vor 20.2.0.0 eine Schwachstelle durch die Generierung fehlerhafter Sicherheitstokens (Generation of Incorrect Security Tokens) in der IAM-Komponente. Ein Angreifer mit niedrigen Rechten und entferntem Zugriff könnte diese potenziell ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 20.2.0.0 oder neuer aktualisieren.

Vibe-Trading vor Version 0.1.10 enthält eine DNS-Rebinding-Schwachstelle: Ein entfernter Angreifer kann durch Ausnutzen des serverseitigen Vertrauens in die TCP-Peer-Adresse die Bearer-Token-Authentifizierung umgehen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt. Empfohlene Massnahme: Update auf Vibe-Trading 0.1.10 oder neuer.

Eine Use-after-free-Schwachstelle in der TabStrip-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, potenziell eine Heap-Korruption auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In AWS Ops Wheel besteht vor PR #168 laut NVD eine gespeicherte Cross-Site-Scripting-Schwachstelle in der Verarbeitung der Participant-URL. Ein authentifizierter entfernter Nutzer kann dadurch Session-Tokens stehlen und zu voller administrativer Kontrolle eskalieren. CVSS-Basiswert: 7.3 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In der iOS-Version von Google Chrome vor Version 151.0.7922.72 liegt ein Use-after-free-Fehler vor. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch potenziell einen Heap-Speicherschaden auslösen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Views-Komponente von Google Chrome unter Mac (vor Version 151.0.7922.72) besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite möglicherweise eine Heap-Korruption ausnutzen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

In der Audio-Komponente von Google Chrome auf macOS vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber potenziell einen Sandbox-Escape über eine präparierte HTML-Seite durchführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In lenve vhr 1.0-SNAPSHOT besteht laut NVD eine Schwachstelle in der Datei vhr.sql: Eine Manipulation führt zur Verwendung von Standard-Zugangsdaten (Default Credentials). Der Angriffsvektor ist laut CVSS-Vektor netzwerkbasiert. CVSS-Basiswert: 7.3 (Hoch).

Dell PowerProtect Data Manager in Versionen vor 20.2.0.0 enthält eine Schwachstelle durch unzureichende Eingabevalidierung (Improper Input Validation). Ein Angreifer mit hohen Privilegien und Fernzugriff könnte sie potenziell ausnutzen; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 20.2.0.0 oder neuer.