Zoho ManageEngine Seite 19

SiYuan enthält vor Version 3.7.3 eine Schwachstelle zur Offenlegung von Metadaten: Der Endpunkt /api/block/getBlockInfo liefert Metadaten des Dokument-Root inklusive Titel auch für Dokumente, deren Veröffentlichung untersagt ist. CVSS-Basiswert: 5.8 (Mittel).

Laut NVD betrifft eine Schwachstelle in der HttpTransferCache-Funktion von Angular Versionen vor 20.3.27, 21.2.19 und 22.0.2. Die vorliegende Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert und eine EPSS-Bewertung liegen in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Projekt chetans9 core-php-admin-panel (bis Commit 90d07ed5aac5e0f09b6a5828d7bb2eb83010763f) besteht laut NVD eine Schwachstelle bei der Verarbeitung einer Datei unterhalb von /Applications/MAMP/htdocs/core-php-admin-p; die Pfadangabe ist in der Quelle abgeschnitten, weitere Details liegen nicht vor. CVSS-Basiswert: 6.3 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In Microsoft Defender for Endpoint besteht eine Time-of-Check-Time-of-Use-(TOCTOU)-Race-Condition, die es einem bereits authentifizierten Angreifer erlaubt, lokal seine Rechte auszuweiten. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

OpenRemote-Versionen vor 1.26.2 enthalten eine Schwachstelle zur Informationsoffenlegung im REST-Endpoint SyslogResource, der Betriebsprotokolle nicht nach Realm filtert. Angreifer mit der Rolle read:rules können dadurch fremde Protokolldaten einsehen. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: Update auf OpenRemote 1.26.2.

Laut NVD fehlt in zenml-io/zenml 0.94.2 beim Endpunkt GET /api/v1/stack-deployment/stack (get_deployed_stack) eine korrekte RBAC-Autorisierungsprüfung. Dadurch kann jeder authentifizierte Nutzer sämtliche bereitgestellten Stacks aufzählen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

In Keycloak besteht eine Schwachstelle im default-groups-REST-Endpunkt und in der Realm-Repräsentation. Diese Komponente verwaltet Gruppen, die neuen Benutzern innerhalb eines Realms automatisch zugewiesen werden. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: bereitgestellte Aktualisierungen der betroffenen Komponente einspielen.

OpenRemote (org.openremote:openremote) enthält in Versionen <= 1.26.2 eine Insecure-Direct-Object-Reference-Schwachstelle im setAssetLinks-Endpunkt von AlarmResourceImpl. Laut Quelle validiert die Realm-Zugriffsprüfung die Berechtigung dabei nicht korrekt. CVSS-Basiswert: 5.4 (Mittel).

RAGFlow speichert vor Version 0.26.3 den Namen eines Agent-Pipeline-Knotens (DSL) ohne Sanitisierung: Der Update-Endpunkt normalisiert das übermittelte DSL lediglich über normalize_dsl, das nur eine JSON-Serialisierung durchführt. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine fehlerhafte Autorisierung (CWE-863) in Elastic Defend kann unter bestimmten Bedingungen zu unautorisierter Informationsoffenlegung führen, da Funktionalität nicht ordnungsgemäss durch ACLs eingeschränkt ist. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf eine bereinigte Elastic-Version einspielen.

Eine Markdown-basierte Cross-Site-Scripting-Schwachstelle (XSS) im Endpunkt /system/notice/create von FastapiAdmin v2.2.0 erlaubt Angreifern die Ausführung beliebiger Web-Skripte oder HTML durch Einschleusen manipulierter Inhalte. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Über den Endpunkt für den Kursstatus kann ein authentifizierter Lernender in Koollab LMS korrekte Quizantworten abrufen, ohne die Bewertung regulär abzuschliessen. CVSS-Basiswert: 4.3 (Mittel).

Das WordPress-Plugin Blog Floating Button verarbeitet laut NVD bis Version 1.4.20 den User-Agent-Header von Besuchern über einen unauthentifizierten Tracking-REST-Endpunkt, ohne ihn zu bereinigen oder zu escapen. Der Wert wird gespeichert und später ausgegeben, wodurch eine gespeicherte Cross-Site-Scripting-Schwachstelle entsteht. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Laut NVD betrifft die Schwachstelle das Produkt Oracle Banking Origination von Oracle Financial Services Applications in der Komponente Configuration. Betroffen ist die Version 14.5.0.16.0; die Lücke gilt als einfach ausnutzbar. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffene sollten das vom Hersteller bereitgestellte Update einspielen.

Bei bestimmten HTTP-Weiterleitungen von einem sicheren auf einen unsicheren Endpunkt kann der HTTP-Client von Reactor Netty laut NVD Zugangsdaten preisgeben. Voraussetzung ist eine entsprechende Konfiguration des HTTP-Clients. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Shopware enthält in den Versionen 6.7.3.0 bis 6.7.10.0 einen Open Redirect im öffentlichen SSO-Einstiegspunkt GET /api/oauth/sso/auth. Wird der Endpunkt ohne die erwarteten Parameter aufgerufen, kann auf eine externe Adresse umgeleitet werden. CVSS-Basiswert: 4.3 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf eine nicht betroffene Shopware-Version einspielen.

Dendrite bis einschliesslich Version 0.13.8 enthält eine fehlerhafte Zugriffskontrolle im /context-Endpunkt der syncapi (syncapi/routing/context.go). Authentifizierte lokale Benutzer können dadurch auf Raum-Inhalte nach dem Verlassen des Raums zugreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin W3SC Elementor to Zoho CRM ist laut NVD in allen Versionen bis einschliesslich 2.2.0 für Cross-Site Request Forgery anfällig. Ursache ist eine fehlende oder fehlerhafte Nonce-Prüfung. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte, aber mit erforderlicher Nutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Integrität aus. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Dokan – AI Powered WooCommerce Multivendor Marketplace Solution prüft vor 5.0.9 laut NVD bei einem REST-Endpunkt für gebündelte Bestellstatus-Änderungen nicht, ob die anfragende Person tatsächlich Besitzerin der Bestellung ist. Dadurch können Angreifer fremde Bestellungen manipulieren. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Koollab LMS kann ein authentifizierter Lernender über den SCORM-Commit-Endpunkt den eigenen Lektionsstatus als abgeschlossen markieren, ohne den Lerninhalt tatsächlich angesehen zu haben. Ursache ist eine unzureichende Prüfung der Geschäftslogik beim Abschluss-Tracking. CVSS-Basiswert: 4.3 (Mittel).

OpenCart 3.0.3.6 enthält eine Cross-Site-Request-Forgery-Schwachstelle im Endpunkt /account/edit. Nicht authentifizierte Angreifer können damit Kontodaten von Opfern verändern, indem sie diese zum Besuch einer präparierten Seite verleiten. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Joomla-Erweiterung RO CSVI von rolandd.com bestehen laut NVD in Versionen vor 9.11.0 Cross-Site-Scripting-Vektoren in den Handlern der AJAX-Endpunkte. CVSS-Basiswert: 6.1 (Mittel).

Eine Schwachstelle im Produkt Oracle Utilities Network Management System von Oracle Utilities Applications (Komponente: Security) betrifft laut Quelle die Versionen 2.4.0.1.0-2.4.0.1.32 sowie 2.5.0.1. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

TypeBot ist ein Werkzeug zum Erstellen von Chatbots. In Version 3.16.0 und früher überprüft der Webhook-Endpunkt der WhatsApp Cloud API (POST /v1/workspaces/{workspaceId}/whatsapp/{credentialsId}/webhook) den x-hub-Signaturheader nicht. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf eine korrigierte Version gemäss Hersteller-Advisory aktualisieren.

Laut NVD besteht in der Komponente Siebel Cloud Manager der Siebel CRM Cloud Applications (Oracle Siebel CRM) eine Schwachstelle. Betroffen sind laut Quelle die Versionen 22.3 bis 26.5. Die Lücke ist mit lokalem Zugriff und niedrigen Rechten leicht ausnutzbar, wirkt über eine Vertrauensgrenze hinweg (Scope Changed) und betrifft die Vertraulichkeit. CVSS-Basiswert: 6.5 (Mittel).

In Quay akzeptiert der filedrop-Endpunkt laut NVD beliebige MIME-Typen ohne Validierung, sodass ein authentifizierter Nutzer mit Schreibrechten auf ein Repository eine schädliche SVG-Datei mit eingebettetem JavaScript hochladen kann. Beim Abruf der Datei wird das Skript im Browser anderer Nutzer ausgeführt (Stored Cross-Site-Scripting). CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: MIME-Typen serverseitig prüfen, Uploads einschränken und Hersteller-Aktualisierungen einspielen, sobald verfügbar.

Das WordPress-Plugin WowOptin: Next-Gen Popup Maker vor Version 1.4.38 setzt an einem REST-Endpunkt keine ordnungsgemässe Autorisierung durch. Dadurch können nicht authentifizierte Benutzer alle Opt-in-Formulare der Website deaktivieren. Ein CVSS-Basiswert liegt in den übergebenen Quelldaten nicht vor.

In NLnet Labs Unbound 1.7.0 bis einschliesslich 1.25.1 wird bei einer auth/rpz-Zone ein konfigurierter primärer Hostname, der auf einen als BOGUS eingestuften A/AAAA-Eintrag auflöst, weiterhin als möglicher XFR-Endpunkt betrachtet. CVSS-Basiswert: 6.5 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM betrifft die Komponente Siebel Cloud Manager. Betroffen sind laut Quelle die Versionen 22.3 bis 26.5; die Lücke ist schwierig auszunutzen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Laut NVD betrifft die Schwachstelle das Produkt Oracle Applications Technology Stack von Oracle E-Business Suite in der Komponente Configuration. Betroffen sind die Versionen 12.2.3 bis 12.2.15; die Lücke ist schwer auszunutzen. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

In den Oracle Siebel CRM Cloud Applications (Komponente Siebel Cloud Manager) besteht eine laut Quelle leicht auszunutzende Schwachstelle. Betroffen sind die Versionen 22.3 bis 26.5. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

OpenCart 3.0.3.7 enthält eine Cross-Site-Request-Forgery-Schwachstelle, über die Angreifer mittels manipulierter Anfragen an den Endpunkt account/password Nutzerpasswörter ändern können. Dazu werden authentifizierte Nutzer dazu verleitet, die präparierten Anfragen auszulösen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Laut Quelle betrifft eine Schwachstelle das Produkt Oracle Applications DBA der Oracle E-Business Suite (Komponente: Internal Operations). Betroffen sind laut Quelle die unterstützten Versionen 12.2.3 bis 12.2.15. Die Lücke ist lokal mit niedrigen Rechten ausnutzbar (AV:L/AC:L/PR:L/UI:N), zeigt eine Scope-Änderung (S:C) und wirkt sich hoch auf die Vertraulichkeit aus (C:H). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Die Mail-Autokonfiguration von Spring Boot aktiviert keine Hostname-Verifizierung. Anwendungen, die die entsprechende JavaMail-Eigenschaft setzen (etwa spring.mail.properties.mail.smtp.ssl.checkserveridentity=true), sind davon betroffen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Der Endpoint /cfg_wifi_set von OpenBK7231T (src/httpserver/http_fns.c) akzeptiert laut Quelle Konfigurationsänderungen über eine einfache GET-Anfrage ohne CSRF-Token. CVSS-Basiswert: 6.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 besteht laut NVD eine Schwachstelle bei der Prüfung, mit der Electron auf macOS eine Berechtigung bestätigt. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 6.3 (Mittel). Laut Zuordnung sind zudem Zoho ManageEngine, Check Point und Apple (macOS/iOS) betroffen.

Electron ist ein Framework für plattformübergreifende Desktop-Anwendungen mit JavaScript, HTML und CSS. Laut NVD wurden vor den Versionen 39.8.7, 40.9.0, 41.2.0 und 42.0.0-beta.1 Berechtigungsprüfungen für Serial-Port- und Medienzugriffe fehlerhaft durchgeführt; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 5.9 (Mittel).

Electron, ein Framework für plattformübergreifende Desktop-Anwendungen mit JavaScript, HTML und CSS, schränkt vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 die Tab- und Scripting-APIs für Erweiterungen laut NVD nicht ausreichend ein. CVSS-Basiswert: 6.6 (Mittel). Ein EPSS-Wert liegt nicht vor.

Electron, ein Framework für plattformübergreifende Desktop-Anwendungen mit JavaScript, HTML und CSS, weist vor den Versionen 39.8.6, 40.9.0, 41.1.1 und 42.0.0-beta.1 laut NVD einen Fehler in der Funktion shell.openPath() auf: Bestimmte Pfade werden nicht zurückgewiesen. CVSS-Basiswert: 6 (Mittel). Ein EPSS-Wert liegt nicht vor.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 40.10.6, 41.9.1, 42.5.1 und 43.0.0 besteht laut NVD eine Schwachstelle, wenn ein benutzerdefinierter Protokoll-Handler eine Protocol-Antwort zurückgibt. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 5.9 (Mittel). Laut Zuordnung ist Zoho ManageEngine betroffen.

Electron verarbeitet laut NVD vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 bestimmte, von Web-Inhalten gelieferte Fenster-Optionen unsicher; die Quellbeschreibung bricht an dieser Stelle ab und nennt keine weiteren Details. CVSS-Basiswert: 5.3 (Mittel). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. In den Versionen vor 39.8.7, 40.9.0, 41.2.0 und 42.0.0-beta.1 besteht laut NVD eine Schwachstelle im Zusammenhang mit der mode-Option von webContents.openDevTools(). CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) ist in den Quelldaten nicht angegeben.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.9, 40.9.2, 41.2.1 und 42.0.0-beta.3 weist laut NVD die Aktion „DevTools reveal in file manager“ eine Schwachstelle auf; weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 6.9 (Mittel). Eine EPSS-Bewertung liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. In den Versionen vor 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 besteht laut NVD eine Schwachstelle bei Anfragen zum Öffnen externer Protokoll-URLs. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) ist in den Quelldaten nicht angegeben.

Flowise ist eine Drag-and-drop-Oberfläche zum Erstellen von LLM-Workflows. Vor Version 3.1.3 ist der Endpunkt POST /api/v1/oauth2-credential/refresh/:credentialId zum Erneuern von OAuth2-Tokens unauthentifiziert erreichbar. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Flowise ist eine Drag-&-Drop-Oberfläche zum Erstellen individueller Large-Language-Model-Workflows. Vor Version 3.1.3 fehlt laut NVD dem Endpoint PUT /api/v1/executions/:id in packages/server/src/routes/executions/index.ts eine ausreichende Zugriffsprüfung. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Admidio enthält vor Version 5.0.11 eine Reflected-Cross-Site-Scripting-Schwachstelle im SSO/SAML-Endpunkt, der unkodierte Exception-Meldungen in die HTTP-Antwort einbettet. Laut Quelle können nicht authentifizierte Angreifer die Lücke ausnutzen. CVSS-Basiswert: 6.5 (Mittel). Der Angriff ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung und ohne Nutzerinteraktion möglich, mit geringen Auswirkungen auf Vertraulichkeit und Integrität.

OnionShare ist ein Open-Source-Tool, das sicheres und anonymes Teilen von Dateien, Hosting von Websites und Chatten über das Tor-Netzwerk ermöglicht. Laut Quellbeschreibung folgt OnionShare CLI/Desktop vor Version 2.6.4 symbolischen Verknüpfungen; die genaue Beschreibung der Auswirkung liegt in den Quelldaten abgeschnitten vor. CVSS-Basiswert: 4.8 (Mittel).

OnionShare ist ein Open-Source-Werkzeug zum anonymen Teilen von Dateien, Hosten von Webseiten und Chatten über das Tor-Netzwerk. Laut NVD setzen OnionShare CLI und Desktop vor Version 2.6.4 eine sicherheitsrelevante Einschränkung nicht durchgehend durch; die genaue betroffene Funktion ist in den vorliegenden Quelldaten nicht vollständig beschrieben. CVSS-Basiswert: 5.4 (Mittel).

Die Joomla-Erweiterung Joomdle (joomdle.com) ist vor Version 3.1.1 über den goto-URL-Parameter des Moodle-Wrapper-Endpunkts anfällig für Reflected Cross-Site-Scripting. CVSS-Basiswert: 6.1 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.