Zoho ManageEngine Seite 20

Laut NVD fehlt in zenml-io/zenml 0.94.2 beim Endpunkt GET /api/v1/stack-deployment/stack (get_deployed_stack) eine korrekte RBAC-Autorisierungsprüfung. Dadurch kann jeder authentifizierte Nutzer sämtliche bereitgestellten Stacks aufzählen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Electron ist ein Framework für plattformübergreifende Desktop-Anwendungen mit JavaScript, HTML und CSS. Laut NVD wurden vor den Versionen 39.8.7, 40.9.0, 41.2.0 und 42.0.0-beta.1 Berechtigungsprüfungen für Serial-Port- und Medienzugriffe fehlerhaft durchgeführt; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 5.9 (Mittel).

OpenRemote (org.openremote:openremote) enthält in Versionen <= 1.26.2 eine Insecure-Direct-Object-Reference-Schwachstelle im setAssetLinks-Endpunkt von AlarmResourceImpl. Laut Quelle validiert die Realm-Zugriffsprüfung die Berechtigung dabei nicht korrekt. CVSS-Basiswert: 5.4 (Mittel).

RAGFlow speichert vor Version 0.26.3 den Namen eines Agent-Pipeline-Knotens (DSL) ohne Sanitisierung: Der Update-Endpunkt normalisiert das übermittelte DSL lediglich über normalize_dsl, das nur eine JSON-Serialisierung durchführt. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Markdown-basierte Cross-Site-Scripting-Schwachstelle (XSS) im Endpunkt /system/notice/create von FastapiAdmin v2.2.0 erlaubt Angreifern die Ausführung beliebiger Web-Skripte oder HTML durch Einschleusen manipulierter Inhalte. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Über den Endpunkt für den Kursstatus kann ein authentifizierter Lernender in Koollab LMS korrekte Quizantworten abrufen, ohne die Bewertung regulär abzuschliessen. CVSS-Basiswert: 4.3 (Mittel).

Das WordPress-Plugin Blog Floating Button verarbeitet laut NVD bis Version 1.4.20 den User-Agent-Header von Besuchern über einen unauthentifizierten Tracking-REST-Endpunkt, ohne ihn zu bereinigen oder zu escapen. Der Wert wird gespeichert und später ausgegeben, wodurch eine gespeicherte Cross-Site-Scripting-Schwachstelle entsteht. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In Keycloak besteht eine Schwachstelle im default-groups-REST-Endpunkt und in der Realm-Repräsentation. Diese Komponente verwaltet Gruppen, die neuen Benutzern innerhalb eines Realms automatisch zugewiesen werden. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: bereitgestellte Aktualisierungen der betroffenen Komponente einspielen.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.9, 40.9.2, 41.2.1 und 42.0.0-beta.3 weist laut NVD die Aktion „DevTools reveal in file manager“ eine Schwachstelle auf; weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 6.9 (Mittel). Eine EPSS-Bewertung liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Laut NVD betrifft die Schwachstelle das Produkt Oracle Banking Origination von Oracle Financial Services Applications in der Komponente Configuration. Betroffen ist die Version 14.5.0.16.0; die Lücke gilt als einfach ausnutzbar. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffene sollten das vom Hersteller bereitgestellte Update einspielen.

Bei bestimmten HTTP-Weiterleitungen von einem sicheren auf einen unsicheren Endpunkt kann der HTTP-Client von Reactor Netty laut NVD Zugangsdaten preisgeben. Voraussetzung ist eine entsprechende Konfiguration des HTTP-Clients. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Shopware enthält in den Versionen 6.7.3.0 bis 6.7.10.0 einen Open Redirect im öffentlichen SSO-Einstiegspunkt GET /api/oauth/sso/auth. Wird der Endpunkt ohne die erwarteten Parameter aufgerufen, kann auf eine externe Adresse umgeleitet werden. CVSS-Basiswert: 4.3 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf eine nicht betroffene Shopware-Version einspielen.

Dendrite bis einschliesslich Version 0.13.8 enthält eine fehlerhafte Zugriffskontrolle im /context-Endpunkt der syncapi (syncapi/routing/context.go). Authentifizierte lokale Benutzer können dadurch auf Raum-Inhalte nach dem Verlassen des Raums zugreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Schwachstelle im USB-Gadget-Treiber f_fs behoben: Beim Parsen der Endpoint-Deskriptoren wird epfile->in nun frühzeitig initialisiert, um die Prüfung der Endpoint-Richtung zu korrigieren. Betroffen sind Produkte, die auf dem Linux-Kernel aufsetzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Kernel-Aktualisierungen einspielen, sobald verfügbar.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 40.10.6, 41.9.1, 42.5.1 und 43.0.0 besteht laut NVD eine Schwachstelle, wenn ein benutzerdefinierter Protokoll-Handler eine Protocol-Antwort zurückgibt. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 5.9 (Mittel). Laut Zuordnung ist Zoho ManageEngine betroffen.

Das WordPress-Plugin W3SC Elementor to Zoho CRM ist laut NVD in allen Versionen bis einschliesslich 2.2.0 für Cross-Site Request Forgery anfällig. Ursache ist eine fehlende oder fehlerhafte Nonce-Prüfung. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte, aber mit erforderlicher Nutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Integrität aus. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

WWBN AVideo enthält eine unauthentifizierte, reflektierte Cross-Site-Scripting-Schwachstelle im Endpunkt url2Embed.json.php, über die Angreifer durch präparierte URLs mit HTML-Metadaten schädliche Skripte einschleusen können. Die Ausnutzung erfordert laut CVSS-Vektor eine Nutzerinteraktion und wirkt sich über Sicherheitsgrenzen hinweg aus (Scope: Changed). CVSS-Basiswert: 6.1 (Mittel).

Das WordPress-Plugin Dokan – AI Powered WooCommerce Multivendor Marketplace Solution prüft vor 5.0.9 laut NVD bei einem REST-Endpunkt für gebündelte Bestellstatus-Änderungen nicht, ob die anfragende Person tatsächlich Besitzerin der Bestellung ist. Dadurch können Angreifer fremde Bestellungen manipulieren. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Koollab LMS kann ein authentifizierter Lernender über den SCORM-Commit-Endpunkt den eigenen Lektionsstatus als abgeschlossen markieren, ohne den Lerninhalt tatsächlich angesehen zu haben. Ursache ist eine unzureichende Prüfung der Geschäftslogik beim Abschluss-Tracking. CVSS-Basiswert: 4.3 (Mittel).

OpenCart 3.0.3.6 enthält eine Cross-Site-Request-Forgery-Schwachstelle im Endpunkt /account/edit. Nicht authentifizierte Angreifer können damit Kontodaten von Opfern verändern, indem sie diese zum Besuch einer präparierten Seite verleiten. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Joomla-Erweiterung RO CSVI von rolandd.com bestehen laut NVD in Versionen vor 9.11.0 Cross-Site-Scripting-Vektoren in den Handlern der AJAX-Endpunkte. CVSS-Basiswert: 6.1 (Mittel).

Eine Schwachstelle im Produkt Oracle Utilities Network Management System von Oracle Utilities Applications (Komponente: Security) betrifft laut Quelle die Versionen 2.4.0.1.0-2.4.0.1.32 sowie 2.5.0.1. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

TypeBot ist ein Werkzeug zum Erstellen von Chatbots. In Version 3.16.0 und früher überprüft der Webhook-Endpunkt der WhatsApp Cloud API (POST /v1/workspaces/{workspaceId}/whatsapp/{credentialsId}/webhook) den x-hub-Signaturheader nicht. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf eine korrigierte Version gemäss Hersteller-Advisory aktualisieren.

Laut NVD besteht in der Komponente Siebel Cloud Manager der Siebel CRM Cloud Applications (Oracle Siebel CRM) eine Schwachstelle. Betroffen sind laut Quelle die Versionen 22.3 bis 26.5. Die Lücke ist mit lokalem Zugriff und niedrigen Rechten leicht ausnutzbar, wirkt über eine Vertrauensgrenze hinweg (Scope Changed) und betrifft die Vertraulichkeit. CVSS-Basiswert: 6.5 (Mittel).

In Quay akzeptiert der filedrop-Endpunkt laut NVD beliebige MIME-Typen ohne Validierung, sodass ein authentifizierter Nutzer mit Schreibrechten auf ein Repository eine schädliche SVG-Datei mit eingebettetem JavaScript hochladen kann. Beim Abruf der Datei wird das Skript im Browser anderer Nutzer ausgeführt (Stored Cross-Site-Scripting). CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: MIME-Typen serverseitig prüfen, Uploads einschränken und Hersteller-Aktualisierungen einspielen, sobald verfügbar.

Das WordPress-Plugin WowOptin: Next-Gen Popup Maker vor Version 1.4.38 setzt an einem REST-Endpunkt keine ordnungsgemässe Autorisierung durch. Dadurch können nicht authentifizierte Benutzer alle Opt-in-Formulare der Website deaktivieren. Ein CVSS-Basiswert liegt in den übergebenen Quelldaten nicht vor.

In NLnet Labs Unbound 1.7.0 bis einschliesslich 1.25.1 wird bei einer auth/rpz-Zone ein konfigurierter primärer Hostname, der auf einen als BOGUS eingestuften A/AAAA-Eintrag auflöst, weiterhin als möglicher XFR-Endpunkt betrachtet. CVSS-Basiswert: 6.5 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM betrifft die Komponente Siebel Cloud Manager. Betroffen sind laut Quelle die Versionen 22.3 bis 26.5; die Lücke ist schwierig auszunutzen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Laut NVD betrifft die Schwachstelle das Produkt Oracle Applications Technology Stack von Oracle E-Business Suite in der Komponente Configuration. Betroffen sind die Versionen 12.2.3 bis 12.2.15; die Lücke ist schwer auszunutzen. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

In den Oracle Siebel CRM Cloud Applications (Komponente Siebel Cloud Manager) besteht eine laut Quelle leicht auszunutzende Schwachstelle. Betroffen sind die Versionen 22.3 bis 26.5. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

OpenCart 3.0.3.7 enthält eine Cross-Site-Request-Forgery-Schwachstelle, über die Angreifer mittels manipulierter Anfragen an den Endpunkt account/password Nutzerpasswörter ändern können. Dazu werden authentifizierte Nutzer dazu verleitet, die präparierten Anfragen auszulösen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die Mail-Autokonfiguration von Spring Boot aktiviert keine Hostname-Verifizierung. Anwendungen, die die entsprechende JavaMail-Eigenschaft setzen (etwa spring.mail.properties.mail.smtp.ssl.checkserveridentity=true), sind davon betroffen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Laut Quelle betrifft eine Schwachstelle das Produkt Oracle Applications DBA der Oracle E-Business Suite (Komponente: Internal Operations). Betroffen sind laut Quelle die unterstützten Versionen 12.2.3 bis 12.2.15. Die Lücke ist lokal mit niedrigen Rechten ausnutzbar (AV:L/AC:L/PR:L/UI:N), zeigt eine Scope-Änderung (S:C) und wirkt sich hoch auf die Vertraulichkeit aus (C:H). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Der Endpoint /cfg_wifi_set von OpenBK7231T (src/httpserver/http_fns.c) akzeptiert laut Quelle Konfigurationsänderungen über eine einfache GET-Anfrage ohne CSRF-Token. CVSS-Basiswert: 6.5 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 besteht laut NVD eine Schwachstelle bei der Prüfung, mit der Electron auf macOS eine Berechtigung bestätigt. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 6.3 (Mittel). Laut Zuordnung sind zudem Zoho ManageEngine, Check Point und Apple (macOS/iOS) betroffen.

Electron, ein Framework für plattformübergreifende Desktop-Anwendungen mit JavaScript, HTML und CSS, weist vor den Versionen 39.8.6, 40.9.0, 41.1.1 und 42.0.0-beta.1 laut NVD einen Fehler in der Funktion shell.openPath() auf: Bestimmte Pfade werden nicht zurückgewiesen. CVSS-Basiswert: 6 (Mittel). Ein EPSS-Wert liegt nicht vor.

Die Joomla-Erweiterung Joomdle (joomdle.com) ist vor Version 3.1.1 über den goto-URL-Parameter des Moodle-Wrapper-Endpunkts anfällig für Reflected Cross-Site-Scripting. CVSS-Basiswert: 6.1 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In der Joomla-Erweiterung SP Page Builder von joomshaper.com vor Version 6.7.1 ermöglicht eine unzureichende Validierung von Order-Parametern im Dynamic-Content-Endpunkt eine SQL-Injection. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Fathom Lite enthält bis einschliesslich Version 1.3.1 eine Stored-Cross-Site-Scripting-Schwachstelle im Endpunkt für die Analytics-Erfassung. Nicht authentifizierte Angreifer können eine javascript:-URI einschleusen, die im Top-Pages-Bereich zur Ausführung kommt. CVSS-Basiswert: 6.1 (Mittel).

APIFold liest eine OpenAPI-3.x- oder Swagger-2.x-Spezifikation ein und generiert daraus einen produktionsreifen MCP-Server-Endpunkt. Vor dem Commit 7f19b52280f414f57af2b79a95333d1c8fbeece5 besteht im Endpunkt /webhooks/:serverSlug eine Schwachstelle. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: auf einen Stand nach dem genannten Commit aktualisieren.

Shopware ist eine offene Commerce-Plattform. Vor den Versionen 6.6.10.18 und 6.7.10.1 erlaubt der Endpunkt /api/_action/media/external-link authentifizierten Admin-Benutzern, serverseitige HTTP-HEAD-Anfragen an beliebige Ziele zu stellen (Server-Side Request Forgery). CVSS-Basiswert: 4.1 (Mittel). Empfohlene Massnahme: auf Version 6.6.10.18 bzw. 6.7.10.1 oder neuer aktualisieren.

In Citrix Secure Access Client für Windows und Citrix Endpoint Analysis Client für Windows besteht eine Schwachstelle durch unsachgemässe Rechteverwaltung (Improper Privilege Management). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

NVIDIA TensorRT-LLM enthält für alle Plattformen eine Schwachstelle im gRPC-Server-Chat-API-Endpunkt, die auf unzureichender Eingabevalidierung (CWE-20) beruht und lokal ausgenutzt werden kann. Ein erfolgreicher Angriff kann laut Quelle die Verfügbarkeit der Anwendung beeinträchtigen. CVSS-Basiswert: 6.2 (Mittel).

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 lässt UrlAttributeSanitizer::getSupportedAttributes() Attribute aus. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 verarbeitet MailtrapRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 6.4.40, 7.4.12 und 8.0.12 verarbeitet TwilioRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 5.4.46 bis 5.4.52, 6.4.40, 7.4.12 und 8.0.12 sperrt der Fix zu CVE-2024-50340 das Runtime-Argv-Parsing nicht vollständig ab. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 weist der DefaultAuthenticationFailureHandler laut Quelle ein sicherheitsrelevantes Verhalten im Umgang mit anfragegesteuerten Daten auf. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, ist laut Quelle in den Versionen 5.4.0 bis 5.4.53, 6.4.41, 7.4.13 und 8.0.13 von einem Problem in den Komponenten NoPrivateNetworkHttpClient und IpUtils::PRIVATE_SUBNETS betroffen. Die genaue Auswirkung geht aus der vorliegenden Quellbeschreibung nicht vollständig hervor. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.13 und 8.0.13 verarbeitet MailomatRequestParser::validateSignature() den Header X-MOM-Webhook-Signature fehlerhaft. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.