Zoho ManageEngine Seite 17

Docker/containerd/Podman führt CVE-2024-8696 in den Sicherheitsankündigungen; die Lücke betrifft laut Quelle auch Zoho. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine rewrites()- oder redirects()-Regel, die ihr externes Ziel dynamisch aufbaut, betroffen sein. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Im Windows Remote Desktop Protocol (RDP) besteht ein Off-by-One-Fehler. Ein nicht authentifizierter Angreifer kann dadurch über das Netzwerk Informationen offenlegen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Diese Schwachstelle ist laut Omnissa in Workspace ONE/Horizon dokumentiert; auch Zoho führt sie in den ManageEngine-Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

In givanz Vvvebjs bis Version 2.0.5 wurde eine Schwachstelle festgestellt. Betroffen ist eine unbekannte Funktion der Datei upload.php der Komponente File Upload Endpoint. Durch Manipulation eines Arguments entsteht die Schwachstelle. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Next.js-Anwendungen, die den App Router und Server Actions (use server) nutzen, sind laut Quelle in den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 von einer Schwachstelle betroffen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Im Remote Desktop Client besteht eine Buffer-Over-Read-Schwachstelle, die einem nicht authentifizierten Angreifer über das Netzwerk die Offenlegung von Informationen ermöglicht. Die Ausnutzung erfordert eine Interaktion des Nutzers. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 14.1.1 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann laut Quelle ein Angreifer eine Situation ausnutzen, bei der eine Server Action eine Anfrage weiterleitet oder umleitet. Weitere Details zur genauen Auswirkung liegen in den verfügbaren Quelldaten nicht vor. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

React Router ist ein Router für React-Anwendungen. In den Versionen 7.0.0 bis 7.17.0 kann der Manifest-Endpoint laut Quelle über unauthentifizierte, gezielte Anfragen erreicht werden, was den Server stark belastet und verlangsamt. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Laut Quellbeschreibung besteht in der Prozessvisualisierungs-Software FUXA (SCADA/HMI/Dashboard) in Version 1.3.0 eine Autorisierungsumgehung im Endpunkt /api/getTagValue, die unter bestimmten Bedingungen unauthentifizierten Zugriff auf Tag-Werte erlaubt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Flowise ist eine Drag-and-drop-Oberfläche zum Erstellen von LLM-Workflows. Vor Version 3.1.3 akzeptiert der unauthentifizierte Endpunkt POST /api/v1/prediction/:id ein overrideConfig-Objekt. CVSS-Basiswert liegt nicht in den Quelldaten vor.

CtrlPanel ist eine quelloffene Abrechnungssoftware für Hosting-Anbieter. In den Versionen 1.1.1 und früher übernimmt der Endpunkt zur Aktualisierung der Admin-Einstellungen einen voll qualifizierten Klassennamen direkt aus der vom Nutzer übermittelten Anfrage. CVSS-Basiswert: 6.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf eine Version nach 1.1.1, sobald verfügbar.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 13.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 sind laut Quellbeschreibung Anfragen betroffen, die auf Anwendungen mit App Router zielen; die genaue Bedingung dafür ist in den Quelldaten nicht vollständig wiedergegeben. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Next.js, ein React-Framework für Full-Stack-Webanwendungen, weist in den Versionen 15.5.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 beim Self-Hosting mit dem Standard-Image-Loader eine Schwachstelle im Zusammenhang mit der Image-Komponente auf. Weitere technische Details führt die Quelle nicht näher aus. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Next.js kann bei einem serverseitigen Fetch mit Request Body unter bestimmten Bedingungen eine zwischengespeicherte Antwort zurückgegeben werden. Betroffen sind laut Quelle die Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Next.js ist ein React-Framework für vollständige Web-Anwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine serverseitige Fetch-Anfrage mit Request-Body unter bestimmten Umständen eine bereits zwischengespeicherte Antwort zurückliefern. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

In bookcars v8.3 erlaubt der Endpunkt /api/delete-temp-license/{file} das Löschen beliebiger Dateien. Nicht authentifizierte Angreifer können über Directory-Traversal-Sequenzen beliebige Dateien entfernen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Firmware des Autel Maxi Charger Single bis einschliesslich Version V1.03.51 erlaubt eine unauthentifizierte Remote-Code-Execution über den auf TCP-Port 9002 lauschenden Dienst. Eine manipulierte Anfrage an den Endpunkt /test kann das Gerät dazu bringen, Code auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor; Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Quinn ist eine in Rust geschriebene, asynchrone Implementierung des IETF-QUIC-Transportprotokolls. In Versionen vor 0.11.14 kann ein entfernter, nicht authentifizierter Angreifer in Anwendungen, die die betroffene Bibliothek verwenden, einen Denial of Service auslösen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Quinn 0.11.14 oder neuer aktualisieren.

Das WordPress-Plugin Mercado Pago payments for WooCommerce ist durch eine fehlende Berechtigungsprüfung am WooCommerce-API-Endpunkt mp_pix_image für einen unautorisierten Datenzugriff anfällig. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das WordPress-Plugin WP Go Maps vor Version 10.0.10 filtert seinen öffentlichen REST-Endpunkt für einzelne Marker nicht nach dem Freigabestatus. Dadurch können nicht authentifizierte Nutzer Marker-Datensätze abrufen, die nicht für die Öffentlichkeit bestimmt sind. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Update auf WP Go Maps 10.0.10 oder neuer.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.9, 40.9.2, 41.2.2 und 42.0.0-beta.4 besteht laut Quelltext ein Problem beim Kopieren von Objekten über die contextBridge-Grenze hinweg; weitere Details dazu liegen im verfügbaren Quelltext nicht vor. CVSS-Basiswert: 5.4 (Mittel). Eine EPSS-Bewertung liegt nicht vor.

Linkwarden ist ein selbst gehosteter, quelloffener Lesezeichen-Manager zum Sammeln, Organisieren und Archivieren von Webseiten. In Version 2.14.0 und früher besteht am Archiv-Upload-Endpunkt (POST /api/v1/archives/) eine Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. In den Versionen vor 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 besteht laut NVD eine Schwachstelle bei Anfragen zum Öffnen externer Protokoll-URLs. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) ist in den Quelldaten nicht angegeben.

Electron verarbeitet laut NVD vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 bestimmte, von Web-Inhalten gelieferte Fenster-Optionen unsicher; die Quellbeschreibung bricht an dieser Stelle ab und nennt keine weiteren Details. CVSS-Basiswert: 5.3 (Mittel). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Pydantic AI ist ein Python-Framework zum Bau von Generative-AI-Agenten. In den Versionen 1.56.0 bis 1.98.0 kann eine Anwendung beim Öffnen einer URL über die Option force_download='allow-local' einen Standardschutz deaktivieren; weitere Angaben zur Schwachstelle liegen in den Quelldaten nicht vor. CVSS-Basiswert: 6.8 (Mittel). In den überwachten Quellen ist neben Python auch Zoho mit dieser CVE verknüpft.

In InvokeAI vor Version 6.13.7 besteht im Endpunkt GET /api/v2/models/scan_folder eine unauthentifizierte Schwachstelle zur Verzeichnisauflistung, die einen angreifergesteuerten scan_path-Parameter akzeptiert. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf InvokeAI 6.13.7 oder neuer aktualisieren.

In danpros HTMLy bis Version 3.1.1 wurde eine Sicherheitslücke in der Funktion add_content der Datei /system/admin/admin.php der Komponente Admin Content Endpoint entdeckt. Laut Quelle ist eine Manipulation möglich; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 5.4 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Paymenter ist eine freie, quelloffene Webshop-Lösung zur Verwaltung von Hosting-Diensten. In Versionen vor 1.5.0 verarbeitet der PayPal-Webhook-Endpunkt /extensions/paypal/webhook laut NVD eingehende Anfragen anhand des PAYPAL-CERT-URL-Headers, ohne diese ausreichend zu prüfen. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Vertraulichkeit aus. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: Update auf Paymenter 1.5.0 oder neuer einspielen.

In Microsoft Defender führt die Offenlegung privater personenbezogener Informationen gegenüber einem nicht autorisierten Akteur dazu, dass ein authentifizierter Angreifer lokal Informationen offenlegen kann. CVSS-Basiswert: 4.7 (Mittel) (CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der keycloak-services-Bibliothek, der Kernkomponente der Identitäts- und Zugriffsverwaltung Keycloak, wurde ein Fehler im role-users-Endpoint gefunden. Laut CVSS-Vektor ist der Angriff über das Netzwerk mit niedrigen Rechten und ohne Benutzerinteraktion möglich und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: bereitgestellte Aktualisierungen einspielen.

HeyForm ist ein quelloffener Formular-Builder. Vor Version 3.0.0-rc.7 erlaubt der Endpunkt /api/upload nicht authentifizierte Datei-Uploads einschliesslich SVG-Dateien; hochgeladene SVGs werden im Verzeichnis der statischen Assets abgelegt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. In den Versionen vor 39.8.7, 40.9.0, 41.2.0 und 42.0.0-beta.1 besteht laut NVD eine Schwachstelle im Zusammenhang mit der mode-Option von webContents.openDevTools(). CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) ist in den Quelldaten nicht angegeben.

Flowise ist eine Drag-&-Drop-Oberfläche zum Erstellen individueller Large-Language-Model-Workflows. Vor Version 3.1.3 fehlt laut NVD dem Endpoint PUT /api/v1/executions/:id in packages/server/src/routes/executions/index.ts eine ausreichende Zugriffsprüfung. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

dbt ermöglicht Datenanalysten und -ingenieuren, Daten mit denselben Praktiken zu transformieren, die Softwareentwickler zum Erstellen von Anwendungen nutzen. Betroffen ist der wiederverwendbare Workflow dbt-labs/actions. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Für Securepoint und weitere betroffene Produkte (Cisco Webex, Cisco, Splunk (Cisco), Zoho, Fedora, Debian (DSA)) wurde eine Sicherheitslücke (CVE-2022-20796) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Flowise ist eine Drag-&-Drop-Oberfläche zum Erstellen individueller Large-Language-Model-Flows. Laut NVD ist der Endpunkt POST /api/v1/oauth2-credential/refresh/:credentialId vor Version 3.1.3 in der WHITELIST_URLS-Liste enthalten, wodurch er ohne Authentifizierung erreichbar ist. Weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert sowie eine EPSS-Bewertung sind nicht angegeben.

Graylog2 Server vor Commit 46a2eeb enthält im Endpunkt POST /events/definitions/{definitionId}/duplicate eine fehlende Berechtigungsprüfung auf Objektebene. Authentifizierte Benutzer können dadurch beliebige Event-Definitionen duplizieren. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Graylog-Version mit dem entsprechenden Fix aktualisieren.

In danpros HTMLy bis Version 3.1.1 wurde eine Schwachstelle in der Funktion unlink() der Datei /system/htmly.php identifiziert, die zur Komponente Delete Username Endpoint gehört. CVSS-Basiswert: 5.4 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt für diese CVE nicht in den Quelldaten vor.

In code-projects Online Hotel Booking 1.0 besteht eine Schwachstelle in einer Funktion der Datei /booknow.php der Komponente Booking Endpoint. Eine Manipulation kann die betroffene Komponente beeintraechtigen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Woodpecker vor Version 3.15.0 registriert den Endpunkt /api/orgs/lookup/*org_full_name ohne Authentifizierungs-Middleware; der LookupOrg-Handler dereferenziert dabei den Session-User (user.ForgeID) bedingungslos. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Firmware des Autel MaxiCharger Single bis einschliesslich Version V1.03.51 besteht ein Heap-basierter Pufferüberlauf im Befehl set_ap_param, der über den Endpunkt /localcfg verarbeitet wird. Ein authentifizierter Angreifer kann durch übergrosse Eingaben den Überlauf auslösen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: die Firmware auf eine Version neuer als V1.03.51 aktualisieren.

Über den Parameter two_steps_auth_code, der von der Funktion twoStepsAuthVerification am Endpunkt /user-login verarbeitet wird, ist eine SQL-Injection möglich. Dadurch lässt sich die Zwei-Faktor-Authentifizierung (2FA) angreifen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald verfügbar.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen mit einem Satz wiederverwendbarer Komponenten. Vor den Versionen 6.4.40, 7.4.12 und 8.0.12 besteht laut Quelle ein Problem beim Parsen von Webhooks in der Mailjet-Mailer-Bridge und der LOX24-Notifier-Bridge. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In MITRE SAF Heimdall Version 2.11.6 bis 2.13.x vor 2.14.0 ermöglicht eine SSRF-Schwachstelle im Tenable-Proxy-Endpunkt entfernten Angreifern den Zugriff auf interne Netzwerkressourcen. Betroffen ist Code im Backend-Bereich apps/backend/src/. CVSS-Basiswert: 5.8 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Rejetto HFS 3.0.0 bis 3.2.0 liefert am Login-Endpunkt beobachtbar unterschiedliche Antworten, je nachdem ob der übermittelte Benutzername existiert. Ein nicht authentifizierter Angreifer im Netzwerk kann dies laut Quelle nutzen, um gültige Benutzernamen zu ermitteln. CVSS-Basiswert: 5.3 (Mittel) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Flowise ist eine Drag-and-drop-Oberfläche zum Erstellen von LLM-Workflows. Vor Version 3.1.3 ist der Endpunkt POST /api/v1/oauth2-credential/refresh/:credentialId zum Erneuern von OAuth2-Tokens unauthentifiziert erreichbar. CVSS-Basiswert liegt nicht in den Quelldaten vor.

cal.diy enthält laut NVD bis einschliesslich Version 6.2.0 eine Open-Redirect-Schwachstelle im OAuth-Callback-Endpunkt der Konferenzfunktion. Angreifer können Nutzer über einen präparierten state-Parameter auf beliebige URLs umleiten. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte, aber mit Nutzerinteraktion ausnutzbar und wirkt sich auf die Integrität aus. CVSS-Basiswert: 4.3 (Mittel).

Das Sylius Mollie Plugin bindet die Zahlungsabwicklung von Mollie in Sylius-Anwendungen ein. Vor den Versionen 2.2.8, 3.2.4 und 3.3.1 besteht in der Route GET /{_locale}/thank-you (PageRedirectController::thankYouAction) eine Schwachstelle. CVSS-Basiswert: 6.5 (Mittel). Laut CVSS-Vektor sind Vertraulichkeit und Verfügbarkeit jeweils mit geringer Auswirkung betroffen. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Angular, eine Entwicklungsplattform für mobile und Desktop-Webanwendungen auf Basis von TypeScript/JavaScript, ist vor den Versionen 20.3.27, 21.2.19 und 22.0.7 von einer Cross-Site-Scripting-Schwachstelle (XSS) betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Aktualisierung auf Angular 20.3.27, 21.2.19 oder 22.0.7.