SimpleHelp Remote Support Seite 23

In desktop.c von Netatalk 1.3 bis 4.2.2 besteht ein Stack-basierter Pufferüberlauf. Ein authentifizierter Angreifer aus der Ferne kann damit einen Denial of Service auslösen, begrenzt Informationen erlangen oder begrenzt Daten verändern. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Netzwerktreiber des Cisco Terminal Service (TS) Agent besteht laut NVD eine Schwachstelle, die es einem authentifizierten, entfernten Angreifer erlaubt, Firewall-Regeln zu umgehen, die dem Konto des Angreifers zugeordnet sind. CVSS-Basiswert: 5.0 (Mittel). Eine EPSS-Bewertung liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Die RabbitMQ-Verbindungstools des Amazon MQ MCP Server (awslabs.amazon-mq-mcp-server) beschränken vor Version 2.0.24 laut NVD die vorgesehenen Endpunkte nicht ausreichend. Dies kann laut Beschreibung einem entfernten, nicht authentifizierten Akteur Zugriff ermöglichen. CVSS-Basiswert: 6.5 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, eine EPSS-Bewertung liegt nicht vor.

Papermark bis Version 0.22.0 enthält eine Fehlkonfiguration bei Cross-Origin Resource Sharing (CORS), über die nicht authentifizierte, entfernte Angreifer anmeldungsbehaftete Cross-Origin-Anfragen durchführen können. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Laut NVD ermöglicht ein Fehler in Systerel S2OPC 1.7.3 einem entfernten Angreifer, über das Resize-Handling der Event-Monitored-Item-Queue einen Denial of Service auszulösen. Ein CVSS-Basiswert sowie eine EPSS-Kennzahl liegen in den Quelldaten nicht vor. Die Kennung wird im Feed dem Hersteller SimpleHelp Ltd zugeordnet; eine über die NVD-Kurzbeschreibung hinausgehende Bestätigung dieser Zuordnung liegt in den Quelldaten nicht vor.

In open62541 Version 1.5.5 und früher kann ein entfernter Angreifer laut NVD über die Typinstanziierungslogik der Komponente NodeManagement einen Denial of Service auslösen. Ein CVSS-Basiswert sowie eine EPSS-Bewertung liegen für diesen Eintrag nicht vor, die Einstufung erfolgt daher mit dem neutralen Schweregrad Mittel. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

S2OPC enthält in Version 1.7.3 laut NVD einen Out-of-Bounds-Read in der Verarbeitung von RepublishResponse-Nachrichten. Ein entfernter Angreifer kann dies für einen Denial-of-Service-Zustand ausnutzen. Ein CVSS-Basiswert liegt für diesen Eintrag nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Mailpit ist ein E-Mail-Testwerkzeug samt API für Entwickler. In Versionen vor 1.30.0 lädt der Unterbefehl mailpit dump --http alle Nachrichten einer entfernten Mailpit-Instanz herunter und schreibt sie in ein Ausgabeverzeichnis, wobei die Verarbeitung nicht ausreichend abgesichert ist. CVSS-Basiswert: 5.9 (Mittel).

In DevTools von Google Chrome vor Version 151.0.7922.72 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch Navigationsbeschränkungen umgehen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In NLnet Labs Unbound 1.22.0 bis einschliesslich 1.25.1 kann ein entfernter, nicht authentifizierter Client eine libngtcp2-Assertion auslösen (sofern mit aktivierten Assertions kompiliert) und damit den gesamten Unbound-Prozess beenden. CVSS-Basiswert: 5.9 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der ServiceWorker-Komponente von Google Chrome (vor Version 151.0.7922.72) besteht eine unzureichende Richtliniendurchsetzung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite die Same-Origin-Policy umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

Eine unzureichende Richtliniendurchsetzung in Chrome for iOS erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite die Zugriffskontrolle (discretionary access control) zu umgehen. Betroffen sind Chrome-Versionen vor 151.0.7922.72. Chromium stuft den Schweregrad als Medium ein. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Dify AI Workflow ermöglicht ein Open-Redirect über den Parameter oauth_redirect_url entfernten Angreifern die Offenlegung sensibler Informationen auf betroffenen Installationen; eine Nutzerinteraktion ist erforderlich. CVSS-Basiswert: 5.4 (Mittel). Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Rouille enthält von Version 0.4.0 bis 3.6.2 laut NVD eine HTTP-Response-Splitting-Schwachstelle. Entfernte Angreifer können durch das Einbetten von Carriage-Return- (0x0D) und Line-Feed-Zeichen (0x0A) beliebige Antwort-Header injizieren. CVSS-Basiswert: 5.4 (Mittel). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

In phpMyFAQ vor Version 4.1.6 besteht in der Konfigurations-API eine Schwachstelle, die authentifizierten Administratoren mit den Rechten CONFIGURATION_EDIT und ATTACHMENT_ADD die Ausführung von Remotecode erlaubt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

IBM Cloud Pak For Business Automation in den Versionen 24.0.0, 24.0.1, 25.0.0 und 26.0.0 kann laut NVD einem entfernten Angreifer erlauben, sensible Informationen zu erlangen, die in Manifest-Dateien offengelegt werden. CVSS-Basiswert: 5.3 (Mittel).

Der MCP-Server in alibabacloud-rds-openapi-mcp-server ist unsachgemäss exponiert und lauscht auf allen Netzwerkschnittstellen. Entfernte Angreifer mit Netzwerkzugriff auf den MCP-Endpunkt können dadurch exponierte MCP-Tools aufrufen. CVSS-Basiswert: 5.8 (Mittel).

IBM Security Verify kann einem entfernten Angreifer die Offenlegung sensibler Informationen ermöglichen, wenn im Browser eine detaillierte technische Fehlermeldung zurückgegeben wird. Diese Informationen könnten für weitere Angriffe genutzt werden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: Sicherheitsupdate bzw. Advisory des Herstellers beachten.

In WebXR in Google Chrome auf Android vor Version 151.0.7922.72 kann ein entfernter Angreifer durch eine nicht initialisierte Speichernutzung über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In Skia in Google Chrome auf Windows vor Version 151.0.7922.72 kann ein entfernter Angreifer durch eine nicht initialisierte Speichernutzung über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der Grafik-Komponente Dawn von Google Chrome vor Version 151.0.7922.72 besteht eine Schwachstelle durch Verwendung nicht initialisierten Speichers. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann dadurch potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Dell Disk Library for Mainframe in den Versionen DLm 8700/2700 enthält eine Server-Side-Request-Forgery-Schwachstelle (SSRF). Ein Angreifer mit geringen Rechten und Netzzugriff könnte sie potenziell ausnutzen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

tiny-http enthält bis Version 0.12.0 laut NVD eine HTTP-Request-Smuggling-Schwachstelle. Ein entfernter Angreifer kann die Request-Framing-Erkennung desynchronisieren, indem ein Transfer-Encoding-Header mit einem beliebigen Wert gesendet wird. CVSS-Basiswert: 5.4 (Mittel). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

In PingIDM (vormals ForgeRock Identity Management) besteht eine Schwachstelle durch unzureichend granulare Zugriffskontrolle, bei der Administratoren die Zugriffsregeln für Remote Connectors nicht korrekt konfigurieren können. Dadurch lassen sich Zugriffsbeschränkungen nicht wie vorgesehen durchsetzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Der JupiCore-Dienst überträgt Firmware-Updates für das interne Ladesteuerungsmodul ohne Integritäts- oder Signaturprüfung. Ein nicht authentifizierter Angreifer aus der Ferne kann dadurch laut Quelle manipulierte Firmware einschleusen. CVSS-Basiswert: 5.3 (Mittel).

In der Grafikbibliothek Skia von Google Chrome besteht vor Version 151.0.7922.72 eine Schwachstelle durch die Verwendung nicht initialisierten Speichers (Uninitialized Use). Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Cross-Origin-Daten abgreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome vor Version 151.0.7922.72 wird nicht initialisierter Speicher verwendet. Ein entfernter Angreifer kann über eine präparierte HTML-Seite Cross-Origin-Daten auslesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome unter Windows vor Version 151.0.7922.72 ermöglicht ein uninitialisierter Speicherzugriff einem entfernten Angreifer, über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der Dawn-Komponente von Google Chrome vor Version 151.0.7922.72 ermöglichte ein uninitialisierter Speicherzugriff einem entfernten Angreifer, über eine präparierte HTML-Seite ursprungsübergreifende Daten auszulesen. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der Grafikbibliothek Skia von Google Chrome vor Version 151.0.7922.72 liegt eine Schwachstelle durch Nutzung uninitialisierten Speichers vor. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Cross-Origin-Daten abgreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der WebGL-Komponente von Google Chrome auf Android (vor Version 151.0.7922.72) besteht eine uninitialisierte Speicherverwendung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Cross-Origin-Daten abgreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

In der ANGLE-Komponente von Google Chrome besteht vor Version 151.0.7922.72 eine uninitialisierte Speicherverwendung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Cross-Origin-Daten abgreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In Rocket LMS 1.1 besteht ein persistentes Cross-Site-Scripting im Support-Ticket-Modul. Authentifizierte Benutzer können über den Parameter title schädlichen Skriptcode einschleusen. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

NewSiteServer (NSS), entwickelt von CyberTutor, weist eine Schwachstelle durch beliebiges Datei-Hochladen (Arbitrary File Upload) auf. Nicht authentifizierte Angreifer aus der Ferne können beliebige Dateien hochladen, einschliesslich schädlicher HTML-Dateien. CVSS-Basiswert: 6.1 (Mittel). Laut CVSS-Vektor erfordert die Ausnutzung eine Nutzerinteraktion und bewirkt eine Scope-Änderung mit jeweils geringen Auswirkungen auf Vertraulichkeit und Integrität, ohne Auswirkung auf die Verfügbarkeit.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Passwort-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der Payments-Komponente von Google Chrome besteht vor Version 151.0.7922.72 eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber über eine präparierte HTML-Seite UI-Spoofing durchführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Komponente Messages von Google Chrome auf Android vor Version 151.0.7922.72 liegt eine unsachgemässe Implementierung vor. Ein entfernter Angreifer kann über eine präparierte HTML-Seite UI-Spoofing durchführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Credential-Management-Komponente von Google Chrome (vor Version 151.0.7922.72) besteht eine unangemessene Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite UI-Spoofing durchführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

In der WebView-Komponente von Google Chrome auf Android ist die Durchsetzung von Sicherheitsrichtlinien unzureichend. Ein entfernter Angreifer kann darüber mittels einer präparierten HTML-Seite Navigationseinschränkungen umgehen. Betroffen sind Versionen von Google Chrome auf Android vor 151.0.7922.72. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome für Android 151.0.7922.72 oder neuer einspielen.

In der Speech-Komponente von Google Chrome ist die Durchsetzung von Sicherheitsrichtlinien unzureichend. Ein entfernter Angreifer kann darüber mittels einer präparierten HTML-Seite die Site-Isolation umgehen. Betroffen sind Versionen von Google Chrome vor 151.0.7922.72. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer einspielen.

In der Navigation-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, Navigationsbeschränkungen zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Navigation-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, Navigationsbeschränkungen zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In DevTools von Google Chrome vor Version 151.0.7922.72 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, kann dadurch Navigationsbeschränkungen umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der DevTools-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Navigationsbeschränkungen umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Komponente Glic von Google Chrome auf Android vor Version 151.0.7922.72 ist die Durchsetzung von Richtlinien unzureichend. Ein entfernter Angreifer kann über eine präparierte HTML-Seite Navigationsbeschränkungen umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In Chrome für iOS vor Version 151.0.7922.72 ist die Durchsetzung von Richtlinien unzureichend. Ein entfernter Angreifer kann über eine präparierte HTML-Seite Navigationsbeschränkungen umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unsachgemässe Implementierung in der WebXR-Funktion von Google Chrome erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auszulesen. Betroffen sind Chrome-Versionen vor 151.0.7922.72. CVSS-Basiswert: 6.5 (Mittel), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine Seitenkanal-Informationsleck-Schwachstelle in der Autofill-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite herkunftsübergreifende (cross-origin) Daten auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Eine unsachgemässe Implementierung in der Favicon-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite herkunftsübergreifende Daten auszulesen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Die Joomla-Erweiterung JMedia ist für eine Server-Side-Request-Forgery-Schwachstelle (SSRF) anfällig. Über den Download einer entfernten URL können interne oder reservierte Adressen angesprochen werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.