Zoho ManageEngine Seite 20

In der Joomla-Erweiterung SP Page Builder von joomshaper.com vor Version 6.7.1 ermöglicht eine unzureichende Validierung von Order-Parametern im Dynamic-Content-Endpunkt eine SQL-Injection. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Fathom Lite enthält bis einschliesslich Version 1.3.1 eine Stored-Cross-Site-Scripting-Schwachstelle im Endpunkt für die Analytics-Erfassung. Nicht authentifizierte Angreifer können eine javascript:-URI einschleusen, die im Top-Pages-Bereich zur Ausführung kommt. CVSS-Basiswert: 6.1 (Mittel).

APIFold liest eine OpenAPI-3.x- oder Swagger-2.x-Spezifikation ein und generiert daraus einen produktionsreifen MCP-Server-Endpunkt. Vor dem Commit 7f19b52280f414f57af2b79a95333d1c8fbeece5 besteht im Endpunkt /webhooks/:serverSlug eine Schwachstelle. CVSS-Basiswert: 5.3 (Mittel). Empfohlene Massnahme: auf einen Stand nach dem genannten Commit aktualisieren.

Shopware ist eine offene Commerce-Plattform. Vor den Versionen 6.6.10.18 und 6.7.10.1 erlaubt der Endpunkt /api/_action/media/external-link authentifizierten Admin-Benutzern, serverseitige HTTP-HEAD-Anfragen an beliebige Ziele zu stellen (Server-Side Request Forgery). CVSS-Basiswert: 4.1 (Mittel). Empfohlene Massnahme: auf Version 6.6.10.18 bzw. 6.7.10.1 oder neuer aktualisieren.

In Citrix Secure Access Client für Windows und Citrix Endpoint Analysis Client für Windows besteht eine Schwachstelle durch unsachgemässe Rechteverwaltung (Improper Privilege Management). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

NVIDIA TensorRT-LLM enthält für alle Plattformen eine Schwachstelle im gRPC-Server-Chat-API-Endpunkt, die auf unzureichender Eingabevalidierung (CWE-20) beruht und lokal ausgenutzt werden kann. Ein erfolgreicher Angriff kann laut Quelle die Verfügbarkeit der Anwendung beeinträchtigen. CVSS-Basiswert: 6.2 (Mittel).

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 lässt UrlAttributeSanitizer::getSupportedAttributes() Attribute aus. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 verarbeitet MailtrapRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 6.4.40, 7.4.12 und 8.0.12 verarbeitet TwilioRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 5.4.46 bis 5.4.52, 6.4.40, 7.4.12 und 8.0.12 sperrt der Fix zu CVE-2024-50340 das Runtime-Argv-Parsing nicht vollständig ab. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 weist der DefaultAuthenticationFailureHandler laut Quelle ein sicherheitsrelevantes Verhalten im Umgang mit anfragegesteuerten Daten auf. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, ist laut Quelle in den Versionen 5.4.0 bis 5.4.53, 6.4.41, 7.4.13 und 8.0.13 von einem Problem in den Komponenten NoPrivateNetworkHttpClient und IpUtils::PRIVATE_SUBNETS betroffen. Die genaue Auswirkung geht aus der vorliegenden Quellbeschreibung nicht vollständig hervor. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.13 und 8.0.13 verarbeitet MailomatRequestParser::validateSignature() den Header X-MOM-Webhook-Signature fehlerhaft. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 6.1.0 bis 6.4.41, 7.4.13 und 8.0.13 lehnt UrlSanitizer::parse() rohe BiDi-Formatierungszeichen nicht ab. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Laut NVD verwendet UrlGenerator::doGenerate() vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 eine auf strtr() basierende Kodierung von Dot-Segmenten, die als fehlerhaft beschrieben wird. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung „Mittel“ ist ein neutraler Default.

Der Endpoint /api/License/deactivateOffline des CAXPerts UniversalPlantViewer WebServices Server v2.7.6 verfügt über eine fehlerhafte Zugriffskontrolle. Dadurch können authentifizierte Angreifer mit niedrigen Rechten auf diesen Endpoint zugreifen, obwohl sie dafür nicht autorisiert sein sollten; die genaue Auswirkung ist in der ausgewerteten Quelle nicht vollständig überliefert. CVSS- und EPSS-Werte liegen nicht vor; die Einstufung „Mittel“ ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 extrahiert der X509Authenticator den Benutzeridentifikator fehlerhaft aus der $_SERVER-Variable. Die Quelldaten führen die konkreten Auswirkungen auf die Authentifizierung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle im UrlGenerator auf: Routen-Parameter werden dabei gegen ein Pattern validiert; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 hängt SendmailTransport im -t-Modus Empfängeradressen fehlerhaft an den ausgehenden Mailversand an. Die Quelldaten führen die konkreten Auswirkungen nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die URL-Bereinigung des HtmlSanitizer; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony weist laut NVD eine Schwachstelle in OidcTokenHandler::verifyClaims() auf. Die Methode prüft laut Quelle den Audience-Claim (aud) sowie einen weiteren Claim; die Beschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die Klasse ParameterizedHeader in der Mime-Komponente von Symfony; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Crawler::addXmlContent() der DomCrawler-Komponente konfiguriert vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 eine Validierungseinstellung des zugrunde liegenden DOMDocument-Objekts in einer Weise, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Von Version 6.4.24 bis 6.4.40 sowie in 7.4.12 und 8.0.12 escaped der file_excerpt-Twig-Filter des Entwicklungs-Profilers Inhalte fehlerhaft. Die Quelldaten führen die genaue Auswirkung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle in der Cache-Komponente PdoAdapter auf. Die Methode doClear() erstellt dabei ein DELETE-Statement; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 sind die method-scoped Attribute #[IsGranted], #[IsSignatureValid] und #[IsCsrfTokenValid] von einem Fehlverhalten betroffen; die genaue Art der Auswirkung ist in den ausgewerteten Quelldaten nicht näher beschrieben. CVSS- und EPSS-Werte liegen nicht vor; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 7.1.0 bis 7.4.12 sowie 8.0.12 baut der Cas2Handler den CAS-Service-Parameter aus Request-Daten auf; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 weist der server:log-Listener des Symfony\Bridge\Monolog-Kommandos eine Schwachstelle auf, die von den Quelldaten jedoch nicht im Detail ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Betreiber betroffener Symfony-Versionen sollten das Update im Blick behalten, sobald die Herstellerdetails vollständig vorliegen.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, weist laut NVD eine Schwachstelle im Parser auf, sofern dieser Angreifer-kontrolliertem Input ausgesetzt ist. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Weitere Details zur konkreten Auswirkung liegen in den Quelldaten nicht vor, da die Beschreibung dort abbricht. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Der Parser der Yaml-Komponente löst vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 YAML-Collection-Aliase auf eine Weise auf, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 verwendet die Methode Parser::cleanup() der Komponente Symfony\Component\Yaml einen regulären Ausdruck, der bei speziell präparierter Eingabe zu übermässigem Backtracking und damit zu einem Denial of Service führen kann. Betroffen sind Anwendungen, die YAML-Eingaben aus nicht vertrauenswürdigen Quellen verarbeiten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Kurz nach Installation oder Aktualisierung eines ESET-Sicherheitsprodukts konnte ein Angreifer unter nicht standardmässigen Voraussetzungen das Produkt funktionsunfähig machen (Denial of Service). CVSS-Basiswert: 6.1 (Mittel). Betroffen ist ESET.

Ein Modul, das in Kaspersky-Anti-Virus-Produkte für den Heimgebrauch sowie in Kaspersky Endpoint Security eingebunden war, enthielt eine Denial-of-Service-Schwachstelle. Ein lokaler Benutzer konnte durch Ausführen eines speziell gestalteten Binärmoduls einen Windows-Absturz herbeiführen. CVSS-Basiswert: 5.5 (Mittel). Laut Quelle wurde der Fix automatisch ausgeliefert. Empfohlene Massnahme: sicherstellen, dass die automatische Aktualisierung angewendet wurde.

Ein Use-after-free im Kernelmodul eset_rtp, das in ESET-Produkten für Linux verwendet wird, erlaubt einem potenziellen Angreifer, einen Denial-of-Service-Zustand auf dem System auszulösen. Betroffen sind Produkte von ESET. CVSS-Basiswert: 5.9 (Mittel).

In den Consumer- und Business-Produkten von ESET für macOS ermöglicht eine Schwachstelle einem am System angemeldeten Nutzer, den ESET-Daemon zu beenden. Dadurch wird der Schutz des ESET-Sicherheitsprodukts bis zu einem Neustart des Systems ausser Kraft gesetzt. CVSS-Basiswert: 5.5 (Mittel).

Eine Komponente des benutzerdefinierten Bootloaders von Kaspersky erlaubte aufgrund einer unzureichenden Authentizitätsprüfung das Laden nicht vertrauenswürdiger UEFI-Module. Die Komponente ist Teil der Kaspersky Rescue Disk (KRD) und wurde vom Authentication Agent der Full Disk Encryption in Kaspersky Endpoint Security (KES) als vertrauenswürdig eingestuft, wodurch sich UEFI Secure Boot umgehen liess. Zur Ausnutzung ist physischer Zugriff auf den Rechner oder lokale Administratorrechte erforderlich. Betroffen sind Produkte von Kaspersky und Zoho. CVSS-Basiswert: 6.8 (Mittel).

Ein lokaler, niedrig privilegierter Nutzer kann ein Verhalten in einem ESET-Installer ausnutzen, um über einen Symlink beliebige Dateien zu überschreiben bzw. zu löschen; Ursache sind unsichere Berechtigungen. Die Ausnutzung ist nur während der Installationsphase und nur bei deaktivierter Selbstverteidigung möglich. CVSS-Basiswert: 5.5 (Mittel).

Der Dienst esets_daemon in ESET Endpoint Antivirus für macOS vor 6.4.168.0 und Endpoint Security für macOS vor 6.4.168.0 überprüft X.509-Zertifikate des SSL-Servers edf.eset.com nicht ordnungsgemäss. Angreifer in einer Mittelsmann-Position können dadurch den Server vortäuschen und über ein selbstsigniertes Zertifikat manipulierte Antworten auf Lizenzaktivierungsanfragen liefern. CVSS-Basiswert: 5.9 (Mittel). Empfohlene Massnahme: Aktualisierung auf Version 6.4.168.0 oder neuer.

Der NDIS-Filtertreiber der ESET Personal Firewall (EpFwNdis.sys) im Firewall-Modul Build 1183 und früher in ESET Smart Security und ESET Endpoint Security 5.0 bis 7.0 erlaubt lokalen Benutzern über ein präpariertes Argument an einen 0x830020CC-IOCTL-Aufruf die Erlangung erhöhter Rechte. CVSS-Basiswert: 6.9 (Mittel).

Der RAR-Datei-Parser zahlreicher Virenscanner – darunter ESET NOD32 Antivirus, Kaspersky Anti-Virus, Bitdefender 7.2, Fortinet Antivirus, Sophos Anti-Virus, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro HouseCall – erlaubt Angreifern aus der Ferne unter Mitwirkung des Nutzers, die Schadsoftware-Erkennung zu umgehen. Möglich wird dies über eine RAR-Datei mit einer einleitenden MZ-Zeichenfolge. CVSS-Basiswert: 4.3 (Mittel).

Der ELF-Datei-Parser in zahlreichen Antiviren-Engines, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern, die Malware-Erkennung über eine ELF-Datei mit verändertem Encoding-Feld zu umgehen. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine POSIX-TAR-Datei mit einer bestimmten einleitenden Bytefolge. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Antivirenprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient eine TAR-Datei mit einer angehängten ZIP-Datei. Laut Quelle könnte der Eintrag später in mehrere CVEs aufgeteilt werden, falls sich zeigt, dass der Fehler unabhängig in verschiedenen TAR-Parser-Implementierungen auftrat. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte – darunter Kaspersky Anti-Virus 7.0.0.125, NOD32 Antivirus 5795 von ESET, Bitdefender 7.2, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro AntiVirus sowie viele weitere Hersteller – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Ausgelöst wird dies über einen TAR-Archiveintrag, dessen Längenfeld die Gesamtgrösse der TAR-Datei überschreitet. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser einer grossen Zahl von Antivirenprodukten – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient ein TAR-Archiveintrag, dessen Längenfeld dem gesamten Eintrag plus einem Teil des Headers des nächsten Eintrags entspricht. CVSS-Basiswert: 4.3 (Mittel).

Der ZIP-Datei-Parser in mehreren Antiviren-Produkten, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern das Umgehen der Malware-Erkennung über eine ZIP-Datei, die am Anfang einen ungültigen Datenblock enthält. CVSS-Basiswert: 4.3 (Mittel).

Der Gzip-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine .tar.gz-Datei mit mehreren komprimierten Streams. CVSS-Basiswert: 4.3 (Mittel).

Das SSL-Protokoll 3.0 verwendet in OpenSSL bis Version 1.0.1i nichtdeterministisches CBC-Padding, was Man-in-the-Middle-Angriffe zur Entschlüsselung von Klartextdaten ermöglicht (bekannt als POODLE). CVSS-Basiswert: 3.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Das TLS-Protokoll 1.2 und früher erlaubt einem Man-in-the-Middle-Angreifer, eine DHE_EXPORT-Verschlüsselung zu erzwingen, wenn der Server diesen schwachen Cipher-Typ unterstützt, auch wenn der Client ihn nicht anfordert. Synology DSM ist betroffen (adressiert in DSM 5.2-5592). CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 99.7 %.

Der RC4-Algorithmus, wie er im TLS- und SSL-Protokoll eingesetzt wird, kombiniert Zustands- und Schlüsseldaten in der Initialisierungsphase nicht korrekt. Dadurch wird es entfernten Angreifern erleichtert, Plaintext-Daten durch statistische Analysen des verschlüsselten Datenverkehrs zu ermitteln. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 23.4 %.