Zoho ManageEngine Seite 16

Für CVE-2018-16890 liegt ein Sicherheitshinweis von curl / Daniel Stenberg vor. Laut Zuordnung sind zudem Zabbly / Canonical, Ubuntu (USN), Debian (DSA), NetApp, Siemens Healthineers, Siemens ProductCERT, SimpleHelp Ltd, Axis, Paessler AG, Zoho und F5 betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.4 %.

In Sipwise rtpengine vor Version 13.4.1.1 erlaubt ein Origin-Validation-Fehler in der Endpoint-Learning-Logik des Media-Relay-Kerns entfernten Angreifern, RTP/SRTP-Medienströme einzuschleusen oder abzufangen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.0 %. Empfohlene Massnahme: Update auf Sipwise rtpengine 13.4.1.1 oder neuer.

Für LibreOffice liegt laut der Sicherheitsübersicht der Document Foundation ein Eintrag zu dieser CVE-ID vor. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.0 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2018-1000877) gemeldet. Betroffen sind zudem mehrere nachgelagerte Distributionen und Produkte, u. a. Debian (DSA), Ubuntu (USN) und Fedora. Ausnutzungswahrscheinlichkeit (EPSS): 4.6 %.

Axis Communications führt CVE-2018-1000878 in den Sicherheitshinweisen auf; betroffen sind laut Datenlage zudem Pakete von Debian, Ubuntu, Fedora, SUSE/openSUSE und Zoho sowie Zabbly/Canonical (Incus/LXD). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 4.4 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-3823) gemeldet. Betroffen sind zudem mehrere nachgelagerte Distributionen und Produkte, die curl einsetzen, u. a. Ubuntu (USN), Debian (DSA) und NetApp. Ausnutzungswahrscheinlichkeit (EPSS): 4.3 %.

Die Firmware des Autel Maxi Charger Single ist bis einschliesslich V1.03.51 anfällig für OS-Command-Injection über den /test-Endpunkt, der auf TCP-Port 9002 bereitgestellt wird. Ein nicht authentifizierter Angreifer kann über manipulierte Eingaben Befehle einschleusen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.2 %.

Für CVE-2018-14680 liegt bei Securepoint UTM ein Sicherheitshinweis vor; laut Zuordnung sind zudem Zabbly / Canonical, Ubuntu (USN), Debian (DSA) und Zoho betroffen. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.0 %.

Für LibreOffice wurde eine Sicherheitslücke (CVE-2014-0247) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 3.9 %.

Für CVE-2018-14681 liegt ein Sicherheitshinweis von Securepoint UTM vor. Die Zuordnung umfasst zudem Incus/LXD, Ubuntu (USN), Debian (DSA) und Zoho. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.7 %.

Für Securepoint UTM wurde eine Sicherheitslücke (CVE-2018-14682) gemeldet. Betroffen sind zudem mehrere nachgelagerte Distributionen und Produkte, u. a. Ubuntu (USN), Debian (DSA) und Zoho. Ausnutzungswahrscheinlichkeit (EPSS): 3.7 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2019-1000019) gemeldet. Betroffen sind zudem mehrere nachgelagerte Distributionen und Produkte, u. a. Debian (DSA), Ubuntu (USN) und Fedora. Ausnutzungswahrscheinlichkeit (EPSS): 3.4 %.

Axis Communications führt CVE-2019-1000020 in den Sicherheitshinweisen auf; betroffen sind laut Datenlage zudem Pakete von Debian, Ubuntu, Fedora, SUSE/openSUSE und Zoho sowie Zabbly/Canonical (Incus/LXD). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.2 %.

Für CVE-2017-3157 liegt aus den Quelldaten keine detaillierte technische Beschreibung vor. Der Eintrag ist in den Sicherheits-Advisories von LibreOffice (The Document Foundation) referenziert; die Zuordnung umfasst zudem Debian (DSA) und Zoho. Ein CVSS-Basiswert ist in den Quelldaten nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.1 %.

Für CVE-2018-10120 liegt ein Sicherheitshinweis von The Document Foundation (LibreOffice) vor; laut Zuordnung sind zudem Debian (DSA), Zoho, Zabbly / Canonical und Ubuntu (USN) betroffen. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.1 %.

The Document Foundation führt CVE-2018-10119 in den Sicherheitshinweisen zu LibreOffice auf; betroffen sind laut Datenlage zudem Pakete von Debian, Ubuntu und Zoho sowie Zabbly/Canonical (Incus/LXD). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.9 %.

Auf der Sicherheitshinweis-Seite von Docker/containerd/Podman ist unter dieser CVE-ID ein Eintrag verzeichnet, der auch Zoho betrifft. Konkrete technische Details zur Schwachstelle liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Docker/containerd/Podman führt CVE-2024-8696 in den Sicherheitsankündigungen; die Lücke betrifft laut Quelle auch Zoho. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine rewrites()- oder redirects()-Regel, die ihr externes Ziel dynamisch aufbaut, betroffen sein. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Im Windows Remote Desktop Protocol (RDP) besteht ein Off-by-One-Fehler. Ein nicht authentifizierter Angreifer kann dadurch über das Netzwerk Informationen offenlegen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Diese Schwachstelle ist laut Omnissa in Workspace ONE/Horizon dokumentiert; auch Zoho führt sie in den ManageEngine-Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

In givanz Vvvebjs bis Version 2.0.5 wurde eine Schwachstelle festgestellt. Betroffen ist eine unbekannte Funktion der Datei upload.php der Komponente File Upload Endpoint. Durch Manipulation eines Arguments entsteht die Schwachstelle. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Next.js-Anwendungen, die den App Router und Server Actions (use server) nutzen, sind laut Quelle in den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 von einer Schwachstelle betroffen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Im Remote Desktop Client besteht eine Buffer-Over-Read-Schwachstelle, die einem nicht authentifizierten Angreifer über das Netzwerk die Offenlegung von Informationen ermöglicht. Die Ausnutzung erfordert eine Interaktion des Nutzers. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 14.1.1 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann laut Quelle ein Angreifer eine Situation ausnutzen, bei der eine Server Action eine Anfrage weiterleitet oder umleitet. Weitere Details zur genauen Auswirkung liegen in den verfügbaren Quelldaten nicht vor. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

React Router ist ein Router für React-Anwendungen. In den Versionen 7.0.0 bis 7.17.0 kann der Manifest-Endpoint laut Quelle über unauthentifizierte, gezielte Anfragen erreicht werden, was den Server stark belastet und verlangsamt. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Laut Quellbeschreibung besteht in der Prozessvisualisierungs-Software FUXA (SCADA/HMI/Dashboard) in Version 1.3.0 eine Autorisierungsumgehung im Endpunkt /api/getTagValue, die unter bestimmten Bedingungen unauthentifizierten Zugriff auf Tag-Werte erlaubt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

CtrlPanel ist eine quelloffene Abrechnungssoftware für Hosting-Anbieter. In den Versionen 1.1.1 und früher übernimmt der Endpunkt zur Aktualisierung der Admin-Einstellungen einen voll qualifizierten Klassennamen direkt aus der vom Nutzer übermittelten Anfrage. CVSS-Basiswert: 6.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf eine Version nach 1.1.1, sobald verfügbar.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 13.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 sind laut Quellbeschreibung Anfragen betroffen, die auf Anwendungen mit App Router zielen; die genaue Bedingung dafür ist in den Quelldaten nicht vollständig wiedergegeben. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Next.js, ein React-Framework für Full-Stack-Webanwendungen, weist in den Versionen 15.5.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 beim Self-Hosting mit dem Standard-Image-Loader eine Schwachstelle im Zusammenhang mit der Image-Komponente auf. Weitere technische Details führt die Quelle nicht näher aus. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Next.js kann bei einem serverseitigen Fetch mit Request Body unter bestimmten Bedingungen eine zwischengespeicherte Antwort zurückgegeben werden. Betroffen sind laut Quelle die Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Next.js ist ein React-Framework für vollständige Web-Anwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine serverseitige Fetch-Anfrage mit Request-Body unter bestimmten Umständen eine bereits zwischengespeicherte Antwort zurückliefern. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

In bookcars v8.3 erlaubt der Endpunkt /api/delete-temp-license/{file} das Löschen beliebiger Dateien. Nicht authentifizierte Angreifer können über Directory-Traversal-Sequenzen beliebige Dateien entfernen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Firmware des Autel Maxi Charger Single bis einschliesslich Version V1.03.51 erlaubt eine unauthentifizierte Remote-Code-Execution über den auf TCP-Port 9002 lauschenden Dienst. Eine manipulierte Anfrage an den Endpunkt /test kann das Gerät dazu bringen, Code auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor; Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Quinn ist eine in Rust geschriebene, asynchrone Implementierung des IETF-QUIC-Transportprotokolls. In Versionen vor 0.11.14 kann ein entfernter, nicht authentifizierter Angreifer in Anwendungen, die die betroffene Bibliothek verwenden, einen Denial of Service auslösen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Quinn 0.11.14 oder neuer aktualisieren.

Das WordPress-Plugin Mercado Pago payments for WooCommerce ist durch eine fehlende Berechtigungsprüfung am WooCommerce-API-Endpunkt mp_pix_image für einen unautorisierten Datenzugriff anfällig. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das WordPress-Plugin WP Go Maps vor Version 10.0.10 filtert seinen öffentlichen REST-Endpunkt für einzelne Marker nicht nach dem Freigabestatus. Dadurch können nicht authentifizierte Nutzer Marker-Datensätze abrufen, die nicht für die Öffentlichkeit bestimmt sind. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Update auf WP Go Maps 10.0.10 oder neuer.

Linkwarden ist ein selbst gehosteter, quelloffener Lesezeichen-Manager zum Sammeln, Organisieren und Archivieren von Webseiten. In Version 2.14.0 und früher besteht am Archiv-Upload-Endpunkt (POST /api/v1/archives/) eine Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Pydantic AI ist ein Python-Framework zum Bau von Generative-AI-Agenten. In den Versionen 1.56.0 bis 1.98.0 kann eine Anwendung beim Öffnen einer URL über die Option force_download='allow-local' einen Standardschutz deaktivieren; weitere Angaben zur Schwachstelle liegen in den Quelldaten nicht vor. CVSS-Basiswert: 6.8 (Mittel). In den überwachten Quellen ist neben Python auch Zoho mit dieser CVE verknüpft.

In InvokeAI vor Version 6.13.7 besteht im Endpunkt GET /api/v2/models/scan_folder eine unauthentifizierte Schwachstelle zur Verzeichnisauflistung, die einen angreifergesteuerten scan_path-Parameter akzeptiert. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf InvokeAI 6.13.7 oder neuer aktualisieren.

In danpros HTMLy bis Version 3.1.1 wurde eine Sicherheitslücke in der Funktion add_content der Datei /system/admin/admin.php der Komponente Admin Content Endpoint entdeckt. Laut Quelle ist eine Manipulation möglich; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 5.4 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Paymenter ist eine freie, quelloffene Webshop-Lösung zur Verwaltung von Hosting-Diensten. In Versionen vor 1.5.0 verarbeitet der PayPal-Webhook-Endpunkt /extensions/paypal/webhook laut NVD eingehende Anfragen anhand des PAYPAL-CERT-URL-Headers, ohne diese ausreichend zu prüfen. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Vertraulichkeit aus. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: Update auf Paymenter 1.5.0 oder neuer einspielen.

In Microsoft Defender führt die Offenlegung privater personenbezogener Informationen gegenüber einem nicht autorisierten Akteur dazu, dass ein authentifizierter Angreifer lokal Informationen offenlegen kann. CVSS-Basiswert: 4.7 (Mittel) (CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

HeyForm ist ein quelloffener Formular-Builder. Vor Version 3.0.0-rc.7 erlaubt der Endpunkt /api/upload nicht authentifizierte Datei-Uploads einschliesslich SVG-Dateien; hochgeladene SVGs werden im Verzeichnis der statischen Assets abgelegt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Für Securepoint und weitere betroffene Produkte (Cisco Webex, Cisco, Splunk (Cisco), Zoho, Fedora, Debian (DSA)) wurde eine Sicherheitslücke (CVE-2022-20796) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

dbt ermöglicht Datenanalysten und -ingenieuren, Daten mit denselben Praktiken zu transformieren, die Softwareentwickler zum Erstellen von Anwendungen nutzen. Betroffen ist der wiederverwendbare Workflow dbt-labs/actions. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.9, 40.9.2, 41.2.2 und 42.0.0-beta.4 besteht laut Quelltext ein Problem beim Kopieren von Objekten über die contextBridge-Grenze hinweg; weitere Details dazu liegen im verfügbaren Quelltext nicht vor. CVSS-Basiswert: 5.4 (Mittel). Eine EPSS-Bewertung liegt nicht vor.

Flowise ist eine Drag-and-drop-Oberfläche zum Erstellen von LLM-Workflows. Vor Version 3.1.3 akzeptiert der unauthentifizierte Endpunkt POST /api/v1/prediction/:id ein overrideConfig-Objekt. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Flowise ist eine Drag-&-Drop-Oberfläche zum Erstellen individueller Large-Language-Model-Flows. Laut NVD ist der Endpunkt POST /api/v1/oauth2-credential/refresh/:credentialId vor Version 3.1.3 in der WHITELIST_URLS-Liste enthalten, wodurch er ohne Authentifizierung erreichbar ist. Weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert sowie eine EPSS-Bewertung sind nicht angegeben.

Graylog2 Server vor Commit 46a2eeb enthält im Endpunkt POST /events/definitions/{definitionId}/duplicate eine fehlende Berechtigungsprüfung auf Objektebene. Authentifizierte Benutzer können dadurch beliebige Event-Definitionen duplizieren. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Graylog-Version mit dem entsprechenden Fix aktualisieren.