Zoho ManageEngine Seite 21

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 6.1.0 bis 6.4.41, 7.4.13 und 8.0.13 lehnt UrlSanitizer::parse() rohe BiDi-Formatierungszeichen nicht ab. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Laut NVD verwendet UrlGenerator::doGenerate() vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 eine auf strtr() basierende Kodierung von Dot-Segmenten, die als fehlerhaft beschrieben wird. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung „Mittel“ ist ein neutraler Default.

Der Endpoint /api/License/deactivateOffline des CAXPerts UniversalPlantViewer WebServices Server v2.7.6 verfügt über eine fehlerhafte Zugriffskontrolle. Dadurch können authentifizierte Angreifer mit niedrigen Rechten auf diesen Endpoint zugreifen, obwohl sie dafür nicht autorisiert sein sollten; die genaue Auswirkung ist in der ausgewerteten Quelle nicht vollständig überliefert. CVSS- und EPSS-Werte liegen nicht vor; die Einstufung „Mittel“ ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 extrahiert der X509Authenticator den Benutzeridentifikator fehlerhaft aus der $_SERVER-Variable. Die Quelldaten führen die konkreten Auswirkungen auf die Authentifizierung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle im UrlGenerator auf: Routen-Parameter werden dabei gegen ein Pattern validiert; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 hängt SendmailTransport im -t-Modus Empfängeradressen fehlerhaft an den ausgehenden Mailversand an. Die Quelldaten führen die konkreten Auswirkungen nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die URL-Bereinigung des HtmlSanitizer; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony weist laut NVD eine Schwachstelle in OidcTokenHandler::verifyClaims() auf. Die Methode prüft laut Quelle den Audience-Claim (aud) sowie einen weiteren Claim; die Beschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die Klasse ParameterizedHeader in der Mime-Komponente von Symfony; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Crawler::addXmlContent() der DomCrawler-Komponente konfiguriert vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 eine Validierungseinstellung des zugrunde liegenden DOMDocument-Objekts in einer Weise, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Von Version 6.4.24 bis 6.4.40 sowie in 7.4.12 und 8.0.12 escaped der file_excerpt-Twig-Filter des Entwicklungs-Profilers Inhalte fehlerhaft. Die Quelldaten führen die genaue Auswirkung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle in der Cache-Komponente PdoAdapter auf. Die Methode doClear() erstellt dabei ein DELETE-Statement; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 sind die method-scoped Attribute #[IsGranted], #[IsSignatureValid] und #[IsCsrfTokenValid] von einem Fehlverhalten betroffen; die genaue Art der Auswirkung ist in den ausgewerteten Quelldaten nicht näher beschrieben. CVSS- und EPSS-Werte liegen nicht vor; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 7.1.0 bis 7.4.12 sowie 8.0.12 baut der Cas2Handler den CAS-Service-Parameter aus Request-Daten auf; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 weist der server:log-Listener des Symfony\Bridge\Monolog-Kommandos eine Schwachstelle auf, die von den Quelldaten jedoch nicht im Detail ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Betreiber betroffener Symfony-Versionen sollten das Update im Blick behalten, sobald die Herstellerdetails vollständig vorliegen.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, weist laut NVD eine Schwachstelle im Parser auf, sofern dieser Angreifer-kontrolliertem Input ausgesetzt ist. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Weitere Details zur konkreten Auswirkung liegen in den Quelldaten nicht vor, da die Beschreibung dort abbricht. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Der Parser der Yaml-Komponente löst vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 YAML-Collection-Aliase auf eine Weise auf, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 verwendet die Methode Parser::cleanup() der Komponente Symfony\Component\Yaml einen regulären Ausdruck, der bei speziell präparierter Eingabe zu übermässigem Backtracking und damit zu einem Denial of Service führen kann. Betroffen sind Anwendungen, die YAML-Eingaben aus nicht vertrauenswürdigen Quellen verarbeiten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Kurz nach Installation oder Aktualisierung eines ESET-Sicherheitsprodukts konnte ein Angreifer unter nicht standardmässigen Voraussetzungen das Produkt funktionsunfähig machen (Denial of Service). CVSS-Basiswert: 6.1 (Mittel). Betroffen ist ESET.

Ein Modul, das in Kaspersky-Anti-Virus-Produkte für den Heimgebrauch sowie in Kaspersky Endpoint Security eingebunden war, enthielt eine Denial-of-Service-Schwachstelle. Ein lokaler Benutzer konnte durch Ausführen eines speziell gestalteten Binärmoduls einen Windows-Absturz herbeiführen. CVSS-Basiswert: 5.5 (Mittel). Laut Quelle wurde der Fix automatisch ausgeliefert. Empfohlene Massnahme: sicherstellen, dass die automatische Aktualisierung angewendet wurde.

Ein Use-after-free im Kernelmodul eset_rtp, das in ESET-Produkten für Linux verwendet wird, erlaubt einem potenziellen Angreifer, einen Denial-of-Service-Zustand auf dem System auszulösen. Betroffen sind Produkte von ESET. CVSS-Basiswert: 5.9 (Mittel).

In den Consumer- und Business-Produkten von ESET für macOS ermöglicht eine Schwachstelle einem am System angemeldeten Nutzer, den ESET-Daemon zu beenden. Dadurch wird der Schutz des ESET-Sicherheitsprodukts bis zu einem Neustart des Systems ausser Kraft gesetzt. CVSS-Basiswert: 5.5 (Mittel).

Eine Komponente des benutzerdefinierten Bootloaders von Kaspersky erlaubte aufgrund einer unzureichenden Authentizitätsprüfung das Laden nicht vertrauenswürdiger UEFI-Module. Die Komponente ist Teil der Kaspersky Rescue Disk (KRD) und wurde vom Authentication Agent der Full Disk Encryption in Kaspersky Endpoint Security (KES) als vertrauenswürdig eingestuft, wodurch sich UEFI Secure Boot umgehen liess. Zur Ausnutzung ist physischer Zugriff auf den Rechner oder lokale Administratorrechte erforderlich. Betroffen sind Produkte von Kaspersky und Zoho. CVSS-Basiswert: 6.8 (Mittel).

Ein lokaler, niedrig privilegierter Nutzer kann ein Verhalten in einem ESET-Installer ausnutzen, um über einen Symlink beliebige Dateien zu überschreiben bzw. zu löschen; Ursache sind unsichere Berechtigungen. Die Ausnutzung ist nur während der Installationsphase und nur bei deaktivierter Selbstverteidigung möglich. CVSS-Basiswert: 5.5 (Mittel).

Der Dienst esets_daemon in ESET Endpoint Antivirus für macOS vor 6.4.168.0 und Endpoint Security für macOS vor 6.4.168.0 überprüft X.509-Zertifikate des SSL-Servers edf.eset.com nicht ordnungsgemäss. Angreifer in einer Mittelsmann-Position können dadurch den Server vortäuschen und über ein selbstsigniertes Zertifikat manipulierte Antworten auf Lizenzaktivierungsanfragen liefern. CVSS-Basiswert: 5.9 (Mittel). Empfohlene Massnahme: Aktualisierung auf Version 6.4.168.0 oder neuer.

Der NDIS-Filtertreiber der ESET Personal Firewall (EpFwNdis.sys) im Firewall-Modul Build 1183 und früher in ESET Smart Security und ESET Endpoint Security 5.0 bis 7.0 erlaubt lokalen Benutzern über ein präpariertes Argument an einen 0x830020CC-IOCTL-Aufruf die Erlangung erhöhter Rechte. CVSS-Basiswert: 6.9 (Mittel).

Der RAR-Datei-Parser zahlreicher Virenscanner – darunter ESET NOD32 Antivirus, Kaspersky Anti-Virus, Bitdefender 7.2, Fortinet Antivirus, Sophos Anti-Virus, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro HouseCall – erlaubt Angreifern aus der Ferne unter Mitwirkung des Nutzers, die Schadsoftware-Erkennung zu umgehen. Möglich wird dies über eine RAR-Datei mit einer einleitenden MZ-Zeichenfolge. CVSS-Basiswert: 4.3 (Mittel).

Der ELF-Datei-Parser in zahlreichen Antiviren-Engines, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern, die Malware-Erkennung über eine ELF-Datei mit verändertem Encoding-Feld zu umgehen. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine POSIX-TAR-Datei mit einer bestimmten einleitenden Bytefolge. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Antivirenprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient eine TAR-Datei mit einer angehängten ZIP-Datei. Laut Quelle könnte der Eintrag später in mehrere CVEs aufgeteilt werden, falls sich zeigt, dass der Fehler unabhängig in verschiedenen TAR-Parser-Implementierungen auftrat. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte – darunter Kaspersky Anti-Virus 7.0.0.125, NOD32 Antivirus 5795 von ESET, Bitdefender 7.2, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro AntiVirus sowie viele weitere Hersteller – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Ausgelöst wird dies über einen TAR-Archiveintrag, dessen Längenfeld die Gesamtgrösse der TAR-Datei überschreitet. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser einer grossen Zahl von Antivirenprodukten – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient ein TAR-Archiveintrag, dessen Längenfeld dem gesamten Eintrag plus einem Teil des Headers des nächsten Eintrags entspricht. CVSS-Basiswert: 4.3 (Mittel).

Der ZIP-Datei-Parser in mehreren Antiviren-Produkten, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern das Umgehen der Malware-Erkennung über eine ZIP-Datei, die am Anfang einen ungültigen Datenblock enthält. CVSS-Basiswert: 4.3 (Mittel).

Der Gzip-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine .tar.gz-Datei mit mehreren komprimierten Streams. CVSS-Basiswert: 4.3 (Mittel).

Das SSL-Protokoll 3.0 verwendet in OpenSSL bis Version 1.0.1i nichtdeterministisches CBC-Padding, was Man-in-the-Middle-Angriffe zur Entschlüsselung von Klartextdaten ermöglicht (bekannt als POODLE). CVSS-Basiswert: 3.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Das TLS-Protokoll 1.2 und früher erlaubt einem Man-in-the-Middle-Angreifer, eine DHE_EXPORT-Verschlüsselung zu erzwingen, wenn der Server diesen schwachen Cipher-Typ unterstützt, auch wenn der Client ihn nicht anfordert. Synology DSM ist betroffen (adressiert in DSM 5.2-5592). CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 99.9 %.

Der RC4-Algorithmus, wie er im TLS- und SSL-Protokoll eingesetzt wird, kombiniert Zustands- und Schlüsseldaten in der Initialisierungsphase nicht korrekt. Dadurch wird es entfernten Angreifern erleichtert, Plaintext-Daten durch statistische Analysen des verschlüsselten Datenverkehrs zu ermitteln. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 23.4 %.

Feathersjs, ein Framework zur Erstellung von Web-APIs und Echtzeitanwendungen mit TypeScript oder JavaScript, weist laut NVD in Version 5.0.44 und früher eine Schwachstelle in der von @feathersjs/commons exportierten Hilfsfunktion _.merge(target, source) auf. Über diese kann eine Prototype-Pollution-Bedingung ausgelöst werden. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hoher Angriffskomplexität und ohne Rechte ausnutzbar. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Statamic ist ein auf Laravel und Git basierendes Content-Management-System (CMS). Vor den Versionen 5.74.0 und 6.20.3 besteht eine Schwachstelle im Live-Preview-Endpunkt für bestehende Einträge und Begriffe im PreviewController (src/Http/Controllers/CP/PreviewController). Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten und unter Nutzerinteraktion ausnutzbar und beeinträchtigt die Integrität in geringem Umfang. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Statamic 5.74.0 bzw. 6.20.3.

Die Activity FilePreViewActivity im Paket zte.com.cn.filer von ZTE File Manager dient der Vorschau komprimierter Dateien. Laut Quelle können Drittanbieter-Anwendungen diese Activity aufrufen und ihr Daten übergeben. Laut CVSS-Vektor erfordert der Angriff physischen Zugriff, hohen Aufwand und eine Benutzerinteraktion; betroffen ist ausschliesslich die Vertraulichkeit in geringem Mass. CVSS-Basiswert: 1.8 (Niedrig).

In Subrion CMS bis Version 4.0.3 betrifft eine Schwachstelle eine unbekannte Funktion der Komponente Blocks-Endpoint, bei der sich das Argument der CSS-Klasse manipulieren lässt. Der Angriff ist netzbasiert, erfordert jedoch hohe Privilegien sowie eine Benutzerinteraktion und wirkt sich nur begrenzt auf die Integrität aus. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Laut NVD erlaubt eine Schwachstelle in der Zugriffskontrolle von Koollab LMS einem nicht authentifizierten Angreifer, über den Login-Kickout-Endpunkt anhand der E-Mail-Adresse die Sitzung eines beliebigen Nutzers zwangsweise zu beenden. CVSS-Basiswert: 3.7 (Niedrig).

Unter bestimmten Bedingungen gibt die SAP-BusinessObjects-Anwendung beim Zugriff eines nicht autorisierten Angreifers auf einen bestimmten Endpunkt sensible Informationen preis. Die Auswirkung auf die Vertraulichkeit ist gering. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Meesho Online Shopping App bis Version 27.3 für Android besteht eine Schwachstelle in einer unbekannten Funktion der Datei /api/endpoint der Komponente com.meesho.supply. Laut Quelle lässt sich diese durch Manipulation ausnutzen. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

Electron ist ein Framework für plattformübergreifende Desktop-Anwendungen mit JavaScript, HTML und CSS. Laut NVD konnte vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 das native Autofill-Popup ungünstig positioniert werden. CVSS-Basiswert: 3.1 (Niedrig).

Im Backchannel-Logout-Endpunkt der keycloak-services-Komponente des Red Hat Build of Keycloak, die für Authentifizierung und Session-Management zuständig ist, wurde eine Schwachstelle gefunden. CVSS-Basiswert: 3.7 (Niedrig), Vektor AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L – der Angriff erfolgt über das Netzwerk bei hoher Angriffskomplexität und wirkt sich ausschliesslich auf die Verfügbarkeit aus. Für diese CVE liegt keine EPSS-Bewertung vor.

In Devolutions Server 2026.2.11 und 2026.1.22 besteht laut NVD eine unzureichende Autorisierungsprüfung am Endpoint zum Löschen sicherer Nachrichten. Ein authentifizierter Nutzer kann dadurch über eine direkte Objektreferenz Nachrichten anderer Nutzer löschen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ein Endpoint in HCL Connections ist laut NVD anfällig für Information Disclosure. In bestimmten Szenarien können dadurch sensible Informationen an unautorisierte Nutzer offengelegt werden. CVSS-Basiswert: 3.5 (Niedrig).

In der Investory Toy Planet Trouble App bis Version 1.5.5 für Android betrifft eine Schwachstelle eine unbekannte Funktion der Datei assets/google-services-desktop.json. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Electron ist ein Framework für plattformübergreifende Desktop-Anwendungen mit JavaScript, HTML und CSS. Laut NVD wurden vor den Versionen 39.8.10, 40.9.0, 41.2.1 und 42.0.0-beta.3 Frame-Daten aus dem Offscreen-Rendering unzureichend geschützt empfangen; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 3.9 (Niedrig).