SimpleHelp Remote Support Seite 8

In Netatalk (Versionen 2.0.0 bis 4.4.2) besteht ein Heap-basierter Pufferüberlauf in der Funktion comm_rcv() des CNID-Daemons. Ein entfernter, authentifizierter Angreifer kann darüber beliebigen Code mit erhöhten Rechten ausführen oder einen Absturz herbeiführen. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Grafikbibliothek Dawn von Google Chrome auf Android vor Version 151.0.7922.72 erfolgt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein entfernter Angreifer kann dies über eine präparierte HTML-Seite ausnutzen, um potenziell einen Sandbox-Escape durchzuführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Ozone-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Net::DNS bis einschliesslich Version 1.55 für Perl erlaubt eine Injektion zur entfernten Ausführung über den EDNS-Mechanismus EXTENDED ERROR. Die Funktion Net::DNS::RR::OPT::EXTENDED_ERROR::_decompose verarbeitet das Feld EXTRA-TEXT einer EDNS-EXTENDED-ERROR-Option, wodurch die Schwachstelle entsteht. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Query Console von Progress MarkLogic Server vor 11.3.6 und 12.0.3 besteht laut NVD eine Cross-Site-Scripting-Schwachstelle. Ein entfernter Angreifer kann einen authentifizierten Administrator auf eine präparierte URL locken; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 9.3 (Kritisch).

In Langflow OSS 1.0.0 bis 1.10.0 erlaubt eine unzureichende Authentifizierung am Endpunkt /api/v1/login/auto_login einem entfernten Angreifer unautorisierten Zugriff; der Endpunkt stellt langlebige Zugangstoken aus. Über das Netzwerk lassen sich ohne Anmeldedaten Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährden. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf eine Version neuer als 1.10.0.

In Apple-Produkten wurde ein Out-of-Bounds-Write-Fehler durch verbesserte Eingabevalidierung behoben. Der Fehler ist in iOS 26.6, iPadOS 26.6, macOS Sequoia 15.7.8, macOS Tahoe 26.6, tvOS 26.6 und visionOS 26.6 korrigiert. Laut Quelle kann ein entfernter Angreifer die Schwachstelle unter bestimmten Bedingungen ausnutzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf die genannten Versionen aktualisieren.

In der Remote-Settings-Client-Komponente von Mozilla Firefox und Thunderbird besteht eine Schwachstelle, die einen Sandbox-Escape ermöglicht. Das Problem wurde in Firefox 154 und Thunderbird 154 behoben. CVSS-Basiswert: 10.0 (Kritisch).

In SimpleHelp fehlt die Authentifizierung für den MQTT-Broker, der nur durch eine Firewall vor externem Zugriff geschützt ist. Ein unauthentifizierter Angreifer aus dem Netzwerk kann dadurch auf den Broker zugreifen, was zur vollständigen Kompromittierung des Geräts führen kann. CVSS-Basiswert: 9.8 (Kritisch).

Der OCPP-Agent-Dienst der CHARX-Plattform prüft eingehende Verbindungsanfragen nicht auf eine gültige Authentifizierung. Dadurch kann ein nicht authentifizierter Angreifer aus der Ferne die Backend-Verbindung des Dienstes umkonfigurieren. Laut Quelle kann dies zu einem Dienstausfall (Denial-of-Service) sowie zur Preisgabe vertraulicher Daten führen. CVSS-Basiswert: 9.8 (Kritisch).

IBM DataStage on Cloud Pak for Data Version 5.4.0.0 kann einem entfernten authentifizierten Angreifer einen Denial of Service ermöglichen, da eine Path-Traversal-Schwachstelle vorliegt. CVSS-Basiswert: 9.6 (Kritisch).

IBM ContextForge MCP Gateway Version 1.0.0 bis 1.0.7 kann einem entfernten Angreifer administrativen Zugriff ermöglichen, da Standard-Zugangsdaten verwendet werden. CVSS-Basiswert: 9.8 (Kritisch).

Das CODESYS Control Runtime System vor Version 3.5.17.10 weist einen Heap-basierten Pufferüberlauf auf. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In JetBrains IntelliJ IDEA vor Version 2026.2 war in einer Remote-Development-Sitzung eine unautorisierte Änderung von Einstellungen möglich. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: auf Version 2026.2 aktualisieren.

Laut NVD erlaubt eine Schwachstelle im Tenable Sensor Proxy einem entfernten Angreifer die Ausführung von Code mit erhöhten Rechten, indem ein Operator dazu gebracht wird, den Sensor mit einem angreifer-kontrollierten Host zu verbinden. CVSS-Basiswert: 9.6 (Kritisch). Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R) setzt eine Nutzerinteraktion voraus, erfordert aber keine vorherige Authentifizierung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In der ANGLE-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 liegt eine fehlerhafte Implementierung vor. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber über eine präparierte HTML-Seite möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome vor Version 151.0.7922.72 besteht ein Integer-Overflow. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber mittels einer präparierten HTML-Seite potenziell einen Sandbox-Ausbruch durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In Google Chrome für iOS vor Version 151.0.7922.72 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber über eine präparierte HTML-Seite möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Input-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann darüber über eine präparierte HTML-Seite potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome auf Windows vor Version 151.0.7922.72 besteht ein Out-of-Bounds-Write. Ein entfernter Angreifer kann darüber mittels einer präparierten HTML-Seite potenziell einen Sandbox-Ausbruch durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der DataTransfer-Komponente von Google Chrome unter Windows vor Version 151.0.7922.72 liegt eine Use-after-free-Schwachstelle vor. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber über eine präparierte HTML-Seite möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome auf Mac vor Version 151.0.7922.72 führt eine unsachgemässe Implementierung dazu, dass ein entfernter Angreifer über eine präparierte HTML-Seite potenziell einen Sandbox Escape durchführen kann. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome vor Version 151.0.7922.72 liegt eine Use-after-free-Schwachstelle vor. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber über eine präparierte HTML-Seite möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Audio-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber potenziell einen Sandbox Escape via einer präparierten HTML-Seite durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der MHTML-Verarbeitung von Google Chrome auf dem Mac vor Version 151.0.7922.72 liegt eine unsachgemässe Implementierung vor. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber potenziell einen Sandbox-Ausbruch durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In Google Chrome für iOS vor Version 151.0.7922.72 liegt eine unsachgemässe Implementierung vor. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Views-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann darüber über eine präparierte HTML-Seite möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der ANGLE-Komponente von Google Chrome besteht vor Version 151.0.7922.72 eine Schwachstelle durch unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Chromecast-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber potenziell einen Sandbox-Ausbruch durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der QUIC-Komponente von Google Chrome vor Version 151.0.7922.72 besteht ein Integer-Overflow. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann darüber über eine präparierte HTML-Seite potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome vor Version 151.0.7922.72 besteht ein Integer-Overflow. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite potenziell einen Sandbox-Escape durchführen. Chromium stuft die Schwere intern als „High“ ein. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Das Gerät VIN-DS783E-E6 von Vacron enthält laut NVD eine versteckte Funktionalität, über die nicht authentifizierte Angreifer aus der Ferne eine spezifische verdeckte Funktion ausnutzen können, um Administrator-Zugangsdaten des Geräts zu erlangen. CVSS-Basiswert: 9.8 (Kritisch). Weitere Angaben zu betroffenen Firmware-Versionen oder einer Gegenmassnahme liegen in den Quelldaten nicht vor.

Linknat VOS3000 und VOS2009 bis einschliesslich Version 2.1.2.0 enthalten eine nicht authentifizierte SQL-Injection-Schwachstelle. Sie erlaubt entfernten Angreifern die Ausführung beliebiger SQL-Befehle über die Manipulation des name-Parameters. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) weist auf eine aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbare Lücke hin. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Version gemäss Hersteller-Advisory aktualisieren.

Die ModbusServer-Anwendung von SimpleHelp validiert von MQTT bezogene Eingaben nicht. Ein unauthentifizierter Angreifer aus dem Netzwerk kann dadurch bösartige Eingaben einschleusen, was die Integrität und Verfügbarkeit beeinträchtigen kann. CVSS-Basiswert: 9.1 (Kritisch).

Dell ThinOS 10 enthält vor Version 2605_10.2616 eine Schwachstelle durch das Versagen eines Schutzmechanismus. Ein nicht authentifizierter Angreifer mit Fernzugriff kann diese Schwachstelle potenziell ausnutzen. CVSS-Basiswert: 9.4 (Kritisch). Der Fund ist laut Zuordnung mehreren Herstellern zugeordnet: Dell (BIOS/DSA), Dell EMC (PowerStore/Isilon/Unity) und SimpleHelp Ltd.

In JetBrains IntelliJ IDEA vor Version 2026.2 war in einer Remote-Development-Sitzung eine unautorisierte Eingabe-Injektion möglich. Damit kann ein Angreifer Eingaben in die Sitzung einschleusen. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf IntelliJ IDEA 2026.2 oder neuer.

IBM DataStage on Cloud Pak for Data in Version 5.4.0.0 erlaubt einem entfernten authentifizierten Angreifer aufgrund unsachgemässer Authentifizierung den Zugriff auf sensible Informationen und das Umgehen von Sicherheitsbeschränkungen. CVSS-Basiswert: 9.6 (Kritisch).

Apereo CAS ab Version 7.3.0 und vor 8.0.0-RC6 enthält eine kryptografische Schwachstelle, die es entfernten, nicht authentifizierten Angreifern erlaubt, durch Ausnutzung wiederverwendeter AES-GCM-Initialisierungsvektoren den Klartext des Konversationszustands wiederherzustellen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Apereo CAS 8.0.0-RC6 oder neuer.

In der Plesk XML-RPC API erlaubt eine unzureichende Eingabebereinigung (Improper Neutralization) einem entfernten authentifizierten Angreifer mit niedrigen Rechten eine SQL-Injection und das Auslesen beliebiger Daten aus der Plesk-Datenbank, was zur vollständigen Kompromittierung führen kann. CVSS-Basiswert: 9.9 (Kritisch).

In der Accessibility-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 liegt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben vor. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann dadurch potenziell einen Sandbox Escape durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 besteht eine Schwachstelle durch unzureichende Kontrolle nutzergesteuerter Eingaben. Ein entfernter Angreifer kann dadurch beliebigen Code auf dem System ausführen. CVSS-Basiswert: 9.9 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Dell PowerProtect Data Manager in Versionen vor 20.2.0.0 enthält eine Schwachstelle durch unzureichende Eingabeprüfung (Improper Input Validation) in der REST-API. Ein hochprivilegierter Angreifer mit entferntem Zugriff könnte diese potenziell ausnutzen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Version 20.2.0.0 oder neuer aktualisieren.

Dell PowerProtect Data Manager in Versionen vor 20.2.0.0 enthält eine Schwachstelle durch unzureichende Eingabevalidierung in der REST-API. Ein Angreifer mit hohen Rechten und Netzwerkzugriff könnte diese Lücke potenziell ausnutzen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Auf Version 20.2.0.0 oder neuer aktualisieren und den Zugriff auf die REST-API einschränken.

In FileThingie Version 2.5.7 kann ein entfernter Angreifer laut NVD über die Komponente ft2.php an sensible Informationen gelangen. CVSS-Basiswert: 9.9 (Kritisch).

In AgentCore CLI vor Version 0.14.2 werden Triple-Quote-Zeichen bei der Python-Code-Generierung unzureichend neutralisiert. Ein authentifizierter, entfernter Angreifer könnte dadurch beliebigen Code ausführen. CVSS-Basiswert: 9.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 0.14.2 oder neuer aktualisieren.

In der ANGLE-Komponente von Google Chrome auf dem Mac vor Version 151.0.7922.72 liegt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben vor. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber potenziell einen Sandbox-Ausbruch durchführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Ein nicht authentifizierter Angreifer im Netzwerk kann dem MQTT-Broker eine manipulierte ID übermitteln, wodurch ein neuer Eintrag in der Systemkonfiguration angelegt wird. Dies kann laut Quelle die Integrität und Verfügbarkeit des Systems beeinträchtigen. CVSS-Basiswert: 9.1 (Kritisch). Betroffen ist SimpleHelp (SimpleHelp Ltd). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

IBM Engineering AI Hub in den Versionen 1.0.0, 1.1.0 und 1.2.0 erlaubt einem entfernten Angreifer die Ausführung beliebiger Skripte, weil Eingaben bei der Erzeugung von Webseiten unzureichend neutralisiert werden (Cross-Site Scripting). CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Sicherheitsaktualisierung des Herstellers einspielen.

In Windu CMS wurde eine Blind-SQL-Injection identifiziert. Ein entfernter, nicht authentifizierter Angreifer kann über den URL-Pfad in einem HTTP-Header SQL-Syntax einschleusen und so eine Blind-SQL-Injection auslösen. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.