Zoho ManageEngine Seite 18

Im Altium 365 SearchService besteht eine Schwachstelle durch fehlende Authentifizierung: Ein veralteter SOAP-Endpunkt stellt Operationen auf dem Suchindex bereit, ohne Authentifizierung, Sitzungs-Token oder eine andere Form der Identitätsprüfung zu verlangen. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

SureCart ist in Versionen vor 4.2.1 anfällig für authentifizierte SQL-Injection über mehrere Parameter (model_name, model_id, integration_id, provider) an einem REST-API-Endpunkt. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Version 4.2.1.

React Router ist ein Router für React-Anwendungen. In den Versionen 6.30.2 bis 6.30.4 sowie 7.9.6 bis 7.12.0 sind Anwendungen, die offene Redirects zulassen, laut Quelle anfällig für Cross-Site-Scripting (XSS). Ein Angreifer kann dazu einen bösartigen Link präparieren, um die Schwachstelle auszunutzen. CVSS-Basiswert: 6.9 (Mittel).

In halo-dev halo bis Version 2.24.2 wurde eine Schwachstelle in der Funktion Download der Datei MigrationEndpoint.java innerhalb der Komponente Files Backup Endpoint festgestellt. Die Schwachstelle ist über das Netzwerk erreichbar und setzt hohe Rechte voraus (PR:H). CVSS-Basiswert: 4.7 (Mittel).

Angular ist eine Entwicklungsplattform für mobile und Desktop-Webanwendungen auf Basis von TypeScript/JavaScript. Vor den Versionen 20.3.27, 21.2.19 und 22.0.1 besteht laut NVD eine Schwachstelle in der i18n-Pipeline des Angular-Compilers; die Quellbeschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert und eine EPSS-Einschätzung liegen in den Quelldaten nicht vor, die Lücke ist nicht im CISA-KEV-Katalog gelistet und es ist kein Ransomware-Bezug bekannt. Die Einstufung erfolgt vorläufig als Mittel.

Der Alertmanager-Templates-Test-Endpunkt von Grafana (/api/alertmanager/grafana/config/api/v1/templates/test) führt Templates ohne Speicherbegrenzung aus. Das massenhafte Ausführen von Templates in kurzer Zeit verursacht einen Out-of-Memory-Zustand und damit einen Denial of Service. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

In n8n vor 2.28.0 (und vor 2.27.4 im 2.27.x-Zweig) wird der Endpunkt DELETE /${restEndpoint}/test-webhook/:id registriert, bevor die Authentifizierungs-Middleware greift. Dadurch kann jeder nicht authentifizierte Angreifer im Netzwerk diesen Endpunkt aufrufen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf n8n 2.28.0 bzw. 2.27.4.

Kanidm, eine Identitätsverwaltungs-Plattform, ist vor Version 1.9.3 anfällig: Eine einzelne unauthentifizierte GET-Anfrage an einen /scim/v1/...-Endpunkt mit einer ?filter=-Abfrage aus einigen tausend verschachtelten Klammern kann die Verarbeitung stark belasten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.9.3 oder neuer aktualisieren.

Typebot ist ein Werkzeug zum Erstellen von Chatbots. In Version 3.15.2 und älter autorisiert der API-Endpunkt getResultLogs den Aufrufer zwar gegen die angegebene typebotId, ruft die Logs jedoch allein anhand der resultId ohne weitere Prüfung ab. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb von 3.15.2, sobald verfügbar.

Pimcore ist eine quelloffene Plattform für Daten- und Experience-Management. In Versionen vor 11.5.17 (LTS) und 12.3.6 verwendet CustomReports eine inkonsistente Autorisierung zwischen dem Endpunkt zur Report-Auflistung und dem Endpunkt zur Report-Detailansicht. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 11.5.17 (LTS) bzw. 12.3.6 oder neuer aktualisieren.

In heshengtao super-agent-party bis Version 0.4.1 wurde eine Schwachstelle in der Funktion get_file_content der Datei server.py gefunden, die zur Komponente execute_tool_manually Endpoint gehört. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Benutzerinteraktion ausnutzbar und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 5.3 (Mittel). Zu Ausnutzungswahrscheinlichkeit (EPSS) und einer Herstellermassnahme liegen aktuell keine Angaben vor.

In lakeFS bis Version 1.83.0 besteht am Endpunkt /setup_comm_prefs eine Authentifizierungsumgehung, die es nicht authentifizierten Angreifern laut Quellbeschreibung erlaubt, Betreiber-Metadaten zu überschreiben. Die Schwachstelle wurde in Commit 71a45ee behoben. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: auf eine korrigierte Fassung mit dem genannten Fix aktualisieren.

Quick.CMS weist im admin.php-Endpunkt eine Local-File-Inclusion-Schwachstelle (LFI) über den Parameter p auf. Ein bereits authentifizierter Angreifer mit Admin-Rechten kann dadurch beliebige Dateien innerhalb der Anwendung einbinden. CVSS-Basiswert: 5.1 (Mittel). Die Lücke ist sowohl bei der NVD als auch bei ENISA-EUVD verzeichnet.

Im Hytale Modding Wiki validiert der quickUpload()-Endpoint hochgeladene Dateien in Version 1.2.0 und früher lediglich anhand ihres MIME-Typs. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine fehlerhafte Autorisierung (CWE-863) in Elastic Defend kann unter bestimmten Bedingungen zu unautorisierter Informationsoffenlegung führen, da Funktionalität nicht ordnungsgemäss durch ACLs eingeschränkt ist. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf eine bereinigte Elastic-Version einspielen.

Im MailerPress-Plugin für WordPress (Newsletter, E-Mail-Marketing und KI-Automatisierung) fehlt am Endpunkt mailerpress/v1/contact eine Berechtigungsprüfung, wodurch unautorisierter Zugriff möglich wird. CVSS-Basiswert: 5.3 (Mittel). Betroffen sind laut Quelle unter anderem WordPress-Installationen sowie weitere überwachte Produkte von Rockwell Automation, Check Point, Phoenix Contact und Zoho.

Anwendungen, die GeneralUtility::sanitizeLocalUrl verwenden, um ausschliesslich lokale URLs zuzulassen, sind anfällig für Open-Redirect-Angriffe, wenn die URL nach der Prüfung weiterverwendet wird. Ein Angreifer kann Benutzer so auf externe Ziele umleiten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen von 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 verarbeitet die Funktion UrlSanitizer::parse() Unicode-Zeichen zur expliziten Textrichtungssteuerung fehlerhaft. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Lernplattform Chamilo (Version 1.11.40 und früher) besteht eine Schwachstelle, die authentifizierten Angreifern die Ausführung von beliebigem Code (Remote Code Execution) über den Pfad main/inc/ajax/lang.ajax.php erlaubt. Der betroffene Endpunkt ist laut Quelle nur unzureichend geschützt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Industrial Application Software IAS Canias ERP 8.03 betrifft eine Schwachstelle eine nicht näher bezeichnete Funktion der Komponente JNLP Deployment Endpoint. Die genauen Auswirkungen gehen aus den Quelldaten nur unvollständig hervor. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine nicht abgefangene Ausnahme im Endpunkt /application/job/update/{id} von FastapiAdmin v2.2.0 erlaubt authentifizierten Angreifern mit der Berechtigung module_task:job:update, einen Denial of Service (DoS) auszulösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Die Schwachstelle betrifft eine Insecure Direct Object Reference (IDOR) in der Methode DeleteNotificationController::delete() am Endpunkt GET /notification/delete/{id}. Der Fehler erlaubt laut Quelle jedem authentifizierten Nutzer den Zugriff auf diese Löschfunktion für fremde Benachrichtigungs-IDs. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Paymenter ist eine quelloffene Webshop-Lösung für die Verwaltung von Hosting-Diensten. In Versionen vor 1.5.0 akzeptiert der Endpunkt zur Ticket-Erstellung eine vom Benutzer übergebene Dienstkennung ohne ausreichende Prüfung. CVSS-Basiswert: 5.4 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: Aktualisierung auf Version 1.5.0 oder neuer.

Der Backend-Dienst von Apple Find My erlaubt bis zum 2025-12-17 einem Angreifer im Besitz eines gültigen PET (Private Endpoint Token), Geräte aufzuzählen und offline befindliche Geräte aus einem Apple-ID-Konto zu entfernen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In nextlevelbuilder GoClaw bis Version 3.13.2 besteht eine Schwachstelle in der Funktion RequestApproval der Datei internal/tools/exec_approval.go innerhalb der Komponente WebSocket Approval Endpoint. Die Schwachstelle ist über das Netzwerk erreichbar und setzt niedrige Rechte voraus (PR:L). CVSS-Basiswert: 6.3 (Mittel).

Im koku-metrics-operator erlaubt die benutzerdefinierte Ressource CostManagementMetricsConfig einem Nutzer, der diese CR bearbeiten kann, einen beliebigen OAuth-Token-Endpunkt anzugeben. CVSS-Basiswert: 6.8 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In SQLAdmin, einer Admin-Oberfläche für SQLAlchemy-Modelle, umgeht der Endpunkt ajax_lookup in application.py vor Version 0.25.1 die Zugriffskontrollprüfung is_accessible(), die alle anderen Endpunkte durchlaufen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf SQLAdmin 0.25.1 oder neuer aktualisieren.

Zohocorp ManageEngine Endpoint Central ist in Versionen vor 11.4.2528.34 von einer Schwachstelle betroffen, bei der sensible Informationen im Klartext übertragen werden (Cleartext Transmission of Sensitive Information). Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion ausnutzbar und beeinträchtigt die Vertraulichkeit in geringem Umfang. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: Aktualisierung auf ManageEngine Endpoint Central 11.4.2528.34 oder neuer.

Der Hearing Reminder Service des Superior Court of California unter hrs.courts.ca.gov stellt einen API-Endpunkt bereit, der Erinnerungsdatensätze mit potenziell sensiblen Informationen zurückgibt. Dadurch können vertrauliche Daten offengelegt werden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Decent Comments vor Version 3.0.2 schränkt laut Quelle den Zugriff auf die E-Mail-Adressen von Kommentar- und Beitragsautoren über seinen REST-API-Endpunkt nicht ein. Dadurch können nicht authentifizierte Angreifer diese Adressen abrufen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Version 3.0.2 oder neuer.

In graphlit graphlit-mcp-server 1.0.1 wurde eine Schwachstelle in der Funktion fetch der Datei src/tools.ts (Komponente ssrf-test Endpoint) identifiziert. Betroffen ist die Manipulation eines Arguments dieser Funktion; der genaue Name liegt in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 6.3 (Mittel).

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 besteht laut Quellenbeschreibung beim Folgen von HTTP-Redirects in net.fetch() eine Schwachstelle; die Beschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 5.9 (Mittel). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

FileBrowser Quantum ist ein frei verfügbarer, selbst gehosteter, webbasierter Dateimanager. In Versionen vor 1.3.2-beta arbeitet der Authentifizierungs-Endpunkt /api/auth/login laut NVD nicht in konstanter Zeit. Bei der Anmeldung mit einem nicht existierenden Benutzer entsteht dadurch ein Zeitunterschied, der als Seitenkanal zur Benutzernamen-Aufzählung genutzt werden kann. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Vertraulichkeit aus. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: Update auf FileBrowser Quantum 1.3.2-beta oder neuer einspielen.

Die HTTP-Server-Komponente von ANDRITZ HIPASE-250 (vormals 250 SCALA) stellt in den betroffenen Versionen laut NVD einen undokumentierten Endpoint bereit, über den sich Logging-Level und Logging-Ziel des Servers ändern lassen. Der Zugriff auf diesen Endpoint erfordert keine Authentifizierung. CVSS-Basiswert: 5.3 (Mittel).

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen mit einer Reihe wiederverwendbarer PHP-Komponenten. In den Versionen 6.1.0 bis 6.4.41, 7.4.13 und 8.0.13 lässt UrlAttributeSanitizer::getSupportedAttributes() bestimmte URL-Attribute bei der Sanitisierung aus. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der OpenAPI-HTML-Endpunkt von DHIS2 spiegelte Werte aus dem Query-Parameter scope in die Ausgabe zurück. DHIS2 ist ein flexibles Informationssystem für Datenerfassung, -verwaltung, -validierung, -analyse und -visualisierung. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle in der Komponente Calendar Synchronizations des Produkts Oracle Common Applications Calendar von Oracle E-Business Suite betrifft laut Quelle die Versionen 12.2.3 bis 12.2.15. Die leicht auszunutzende Lücke erlaubt einem Angreifer mit niedrigen Rechten und Netzwerkzugriff eine teilweise Beeinträchtigung von Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen, sobald verfügbar.

Ein nicht authentifizierter Angreifer kann durch wiederholtes Senden von HTTP-Anfragen an den TLS-Endpunkt eine Out-of-Memory-Situation auslösen und so den Java-Prozess von RHCS zum Absturz bringen. Die Auswirkung hängt von der Konfiguration des RHCS-Servers ab. CVSS-Basiswert: 5.3 (Mittel).

In NLnet Labs Unbound bis einschliesslich Version 1.25.1 können Anwendungen, die libunbound nutzen und mit unwanted-reply-threshold konfiguriert sind, unter Umständen abrupt beendet werden, sobald der Schwellenwert erreicht wird. Das führt zu einem Denial-of-Service. CVSS-Basiswert: 5.9 (Mittel).

Typebot ist ein Werkzeug zum Erstellen von Chatbots. In Version 3.15.2 gibt der API-Endpunkt getLinkedTypebots vollständige Bot-Definitionen an jeden authentifizierten Benutzer zurück, der die Ziel-Bot-ID in einem Typebot-Link-Block referenziert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Camaleon CMS enthält bis Version 2.9.2 (behoben in Commit 88ab703) eine fehlende Autorisierungsprüfung am Drafts-Endpunkt. Laut Quelle kann jeder authentifizierte, niedrig privilegierte Nutzer dadurch Entwurfs-Beiträge anlegen. CVSS-Basiswert: 4.3 (Mittel). Eine EPSS-Ausnutzungswahrscheinlichkeit liegt in den Quelldaten nicht vor.

In desktop.c von Netatalk 1.3 bis 4.2.2 besteht ein Stack-basierter Pufferüberlauf. Ein authentifizierter Angreifer aus der Ferne kann damit einen Denial of Service auslösen, begrenzt Informationen erlangen oder begrenzt Daten verändern. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der Endpunkt /api/v1/autotranslate.translateMessage erlaubt in mehreren betroffenen Versionen jedem authentifizierten Benutzer, den vollständigen Inhalt beliebiger fremder Nachrichten abzurufen. Betroffen sind laut Quelle unter anderem die Versionen vor 8.5.0, 8.4.2, 8.3.4, 8.2.4, 8.1.5, 8.0.6, 7.13.8 und 7.10.12. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf eine der bereinigten Versionen.

In macrozheng mall bis Version 1.0.3 wurde eine Schwachstelle in einer unbekannten Funktion der Datei /order/paySuccess der Komponente Payment Status Endpoint gefunden. Weitere technische Details zur Manipulation liegen in den Quelldaten nicht vor. CVSS-Basiswert: 5.4 (Mittel). Zu einer empfohlenen Massnahme liegen in den Quelldaten keine Angaben vor.

In pgAdmin 4 wird im SERVER-Modus die Authentifizierung pro Route über den Dekorator @pga_login_required durchgesetzt. Laut NVD-Beschreibung deckt der before_request-Hook der Anwendung jedoch nur das automatische Login im Desktop-Modus sowie Kerberos-/Webserver-Anmeldungen ab, was auf eine unvollständige Absicherung weiterer Routen hindeutet. CVSS-Basiswert: 6.5 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Auf der Sicherheitshinweis-Seite von Docker/containerd/Podman ist diese CVE-ID verzeichnet. Laut Zuordnung sind Docker/containerd/Podman und Zoho betroffen; konkrete technische Details zur Schwachstelle liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Laut NVD enthält Zammad 7.1.0 eine authentifizierte, unzureichende Autorisierungsprüfung im Endpunkt zum Klonen von Ticket-Artikel-Anhängen. Weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert sowie eine EPSS-Bewertung sind nicht angegeben.

OnionShare ist ein Open-Source-Tool, das sicheres und anonymes Teilen von Dateien, Hosting von Websites und Chatten über das Tor-Netzwerk ermöglicht. Laut Quellbeschreibung folgt OnionShare CLI/Desktop vor Version 2.6.4 symbolischen Verknüpfungen; die genaue Beschreibung der Auswirkung liegt in den Quelldaten abgeschnitten vor. CVSS-Basiswert: 4.8 (Mittel).

Der MCP-Server in alibabacloud-rds-openapi-mcp-server ist unsachgemäss exponiert und lauscht auf allen Netzwerkschnittstellen. Entfernte Angreifer mit Netzwerkzugriff auf den MCP-Endpunkt können dadurch exponierte MCP-Tools aufrufen. CVSS-Basiswert: 5.8 (Mittel).

Adobe Connect in den Versionen 2025.3, 12.10 und früher ist von einer reflektierten Cross-Site-Scripting-Schwachstelle (XSS) betroffen. Gelingt es einem Angreifer, ein Opfer zum Aufruf einer präparierten URL zu bewegen, die auf eine verwundbare Seite verweist, kann Schadcode im Browser des Opfers ausgeführt werden. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.