Western Digital Seite 6

HCL Digital Experience Compose ist von einer reflektierten Cross-Site-Scripting-Schwachstelle (XSS) im Search Center betroffen. Ein Angreifer könnte damit beliebiges JavaScript im Browser des Opfers ausführen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Liferay führt CVE-2025-4604 in den Sicherheitsmeldungen zu Liferay Portal / DXP. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Eine unzureichende Neutralisierung von Eingaben bei der Webseiten-Generierung ermöglicht laut NVD Reflected Cross-Site Scripting im Theme „News Theme V8“ ab Version 8 (genaue Versionsgrenze in der Quelle abgeschnitten). Ein Angreifer kann damit über eine präparierte URL Skriptcode im Kontext eines Opfers ausführen, sofern eine Nutzerinteraktion erfolgt. CVSS-Basiswert: 6.1 (Mittel), der Vektor (AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N) zeigt eine über das Netzwerk ausnutzbare Lücke mit Nutzerinteraktion und begrenzter Auswirkung auf Vertraulichkeit und Integrität.

HCL Digital Experience und HCL Digital Experience Compose können anfällig für Host-Header-Injection sein. Ein Angreifer kann den Host-Header manipulieren und die Anwendung zu unerwartetem Verhalten veranlassen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Für CVE-2025-43748 liegt in den verfügbaren Quelldaten keine inhaltliche Schwachstellenbeschreibung vor; der Eintrag wird vom Hersteller auf der Liferay-Sicherheitsseite (Liferay Portal / DXP) geführt und betrifft die überwachten Produktbereiche Liferay Portal / DXP sowie Western Digital. Ein CVSS-Basiswert liegt nicht vor, daher wird die Severity mit dem neutralen Default „Mittel“ ausgewiesen. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Grimmory ist eine selbst gehostete digitale Bibliothek. In Versionen vor 2.3.1 ermöglicht eine Stored-Cross-Site-Scripting-Schwachstelle im browserbasierten EPUB-Reader einem Angreifer das Einbetten beliebigen JavaScript-Codes. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Grimmory 2.3.1 oder neuer aktualisieren.

Für Produkte von Liferay und Western Digital wurde eine Sicherheitslücke (CVE-2025-62262) gemeldet. Weitergehende technische Details liegen aus den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Bilin Software and Informatics Consultancy Inc. weist in HUMANIST Digital Human Resources eine unzureichende Neutralisierung von Eingaben bei der Webseitenerzeugung auf, was gespeichertes Cross-Site-Scripting ermöglicht. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Zuordnung weist Western Digital als betroffenen Hersteller aus. Eine empfohlene Massnahme ist in den Quelldaten nicht angegeben.

ImageMagick ist eine quelloffene Software zur Bearbeitung und Manipulation digitaler Bilder. In Versionen vor 7.1.2-27 kann in der fx-Operation durch eine präparierte Eingabe ein Heap-Buffer-Overwrite ausgelöst werden. CVSS-Basiswert: 5.0 (Mittel). Empfohlene Massnahme: Update auf Version 7.1.2-27 oder neuer.

ImageMagick ist eine frei verfügbare Open-Source-Software zur Bearbeitung und Verarbeitung digitaler Bilder. In Versionen vor 6.9.13-52 beziehungsweise 7.1.2-27 kann die Verarbeitung einer extrem grossen JNX-Datei auf 32-Bit-Plattformen die Verfügbarkeit der Anwendung beeinträchtigen. Der Angriffsweg ist lokal und erfordert hohen Aufwand, eine Benutzerinteraktion ist nicht nötig. CVSS-Basiswert: 5.1 (Mittel).

Für Liferay-Portal-/DXP-Produkte wurde eine Sicherheitslücke (CVE-2025-62276) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

ImageMagick ist eine quelloffene Software zur Bearbeitung und Manipulation digitaler Bilder. In Versionen vor 6.9.13-51 sowie ab 7.0.1-0 bis vor 7.1.2-26 kann ein ungültiger Kernel einen Heap-Buffer-Overflow bei der Bildverarbeitung auslösen. CVSS-Basiswert: 4.7 (Mittel). Empfohlene Massnahme: Auf eine der genannten gefixten Versionen aktualisieren.

In HUMANIST Digital Human Resources von Bilin Software and Informatics Consultancy Inc. besteht eine Schwachstelle durch URL-Weiterleitung auf nicht vertrauenswürdige Ziele (Open Redirect), die für Phishing missbraucht werden kann (Versionsangabe in der Quelle abgeschnitten). CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Die LoRa-Transceiver der Reihe Semtech LR11xx setzen für die Authentifizierung der Firmware eine Secure-Boot-Funktion mit digitalen Signaturen um. Die Implementierung verwendet jedoch einen nicht standardkonformen kryptografischen Hash-Algorithmus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

ImageMagick ist eine quelloffene Software zur Bearbeitung digitaler Bilder. In Versionen vor 7.1.2-26he fehlen bei der -concatenate-Operation die vorgesehenen Policy-Prüfungen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist ab Version 7.1.2-26he behoben.

Im WordPress-Plugin WiFiBurada von Digital Operation Services wurde eine Schwachstelle vom Typ „Authentication Bypass by Assumed-Immutable Data” entdeckt, die es Angreifern ermöglicht, benutzerkontrollierte Variablen zu manipulieren. Betroffen sind alle Versionen vor 1.0.5. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Advantech ECU-1251D besteht eine Denial-of-Service-Schwachstelle: Ein netzwerknaher Angreifer kann ein DNP3-Signal an die Digital-Output-Adresse des Geräts senden und dadurch den DNP3Daemon-Dienst stören. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Laut NVD ist die Schwachstelle nicht im CISA-KEV-Katalog aktiv ausgenutzter Schwachstellen gelistet.

Das WordPress-Plugin Easy Digital Downloads erlaubt bis einschliesslich Version 3.6.9 Benutzern mit Administrator-Rechten das Löschen beliebiger Dateien. CVSS-Basiswert: 4.9 (Mittel).

Das WordPress-Plugin Premium Packages – Sell Digital Products Securely ist bis einschliesslich Version 7.0.4 über den Parameter wpdmppdl für eine Authentifizierungsumgehung anfällig. CVSS-Basiswert: 6.3 (Mittel).

Im WordPress-Plugin Easy Digital Downloads bis einschliesslich Version 3.6.7 besteht eine Schwachstelle in der Authentifizierung (Broken Authentication), die ohne vorherige Anmeldung ausnutzbar ist. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: Aktualisierung auf eine Version nach 3.6.7.

In Aetopia Digital Asset Management DAM v.1.0.0 kann ein entfernter Angreifer laut Quelle über die Parameter name und description der Funktion Add/Update Project beliebigen Code ausführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.