Zoho ManageEngine Seite 3

ILIAS deserialisiert gespeicherte Session-Daten für einen nicht authentifizierten Aufrufer. Betroffen ist der Shibboleth-Backchannel-Endpunkt shib_logout.php unter components/ILIAS/AuthShibboleth/resources/, der in einem privilegierten Ausführungskontext läuft. CVSS-Basiswert: 9.8 (Kritisch).

Im Netcore NBR200V2 1.3.241127.071246 wurde in einem unbekannten Teil der Datei /www/cgi-bin/network_tools der Komponente CGI Diagnostic Endpoint eine Schwachstelle festgestellt. CVSS-Basiswert: 10.0 (Kritisch).

In IBM Java in mehreren Versionen (8 vor SR1, 7 R1 vor SR2 FP11, 7 vor SR9, 6 R1 vor SR8 FP4, 6 vor SR16 FP4, 5.0 vor SR16 FP10) besteht eine nicht näher spezifizierte Schwachstelle, die entfernten Angreifern eine Rechteausweitung ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 2.5 %.

Im Netcore NBR200V2 1.3.241127.071246 wurde in der Komponente Firmware Upgrade CGI Endpoint eine Schwachstelle in der Datei /www/cgi-bin/upgrade identifiziert. Laut NVD kann eine gezielte Manipulation die Firmware-Aktualisierungsfunktion kompromittieren. CVSS-Basiswert: 9.1 (Kritisch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Laut Zuordnung betreffen die überwachten Produkte Caddy (Light Code Labs) und ManageEngine (Zoho).

SiYuan bis Version 3.7.2 gibt über den Endpunkt /api/search/searchEmbedBlock ein vom Client geliefertes SQL-Statement unverändert an das zentrale, lese- und schreibbare Datenbank-Handle siyuan.db weiter, ohne dass eine Beschränkung auf einzelne oder rein lesende Anweisungen erfolgt. Ein Angreifer kann darüber beliebige SQL-Befehle gegen die Datenbank ausführen. CVSS-Basiswert: 10 (Kritisch).

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. Laut Quelle besteht in den Versionen 13.4.0 bis 15.5.24 sowie 16.3.3 eine Schwachstelle in Anwendungen, die den Pages Router oder App Router ohne Cache Components verwenden. CVSS-Basiswert: 9.0 (Kritisch). Weitere Angaben zur genauen Angriffsbedingung liegen in den Quelldaten nicht vollständig vor. Betroffen sind laut Zuordnung die Hersteller Zoho und Microsoft Windows.

Liman ist eine quelloffene Software zur Serververwaltung. Vor Version 2.2.2-1103 erlaubt eine OS-Command-Injection-Schwachstelle im Endpunkt für die Log-Rotations-Konfiguration einem authentifizierten Administrator laut Quelle die Ausführung von Befehlen. CVSS-Basiswert: 9.1 (Kritisch). Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Das WordPress-Plugin Background Image Cropper in Version 1.2 enthält eine Schwachstelle zur Remote Code Execution: Nicht authentifizierte Angreifer können über den Endpunkt ups.php beliebige Dateien hochladen. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden.

In Flowise 3.1.2 kann ein entfernter Angreifer über den Endpunkt /api/v1/prediction/<flowId> beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Es liegt weder ein EPSS-Wert noch ein Eintrag im CISA-KEV-Katalog für diese CVE vor.

Incus ist ein System-Container- und Virtual-Machine-Manager. Vor Version 7.2.0 speichert der Parameter record-output des Endpunkts /instances/$name/exec die Ausgabe des ausgeführten Befehls serverseitig. CVSS-Basiswert: 9.9 (Kritisch).

PraisonAI ist ein System für Multi-Agent-Teams. In Versionen vor 4.6.40 stellt das mitgelieferte A2A-Serverbeispiel einen nicht authentifizierten A2A-JSON-RPC-Endpunkt bereit und registriert eine calculate(expression)-Funktion. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) weist auf eine aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbare Lücke hin. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine bereinigte Version gemäss Hersteller-Advisory aktualisieren.

Keysight IxChariot Endpoint und zugehörige Produkte enthalten eine Stack-based-Buffer-Overflow-Schwachstelle. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Netzwerkpaket beliebigen Code mit administrativen Rechten ausführen. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Einstufung liegt in den Quelldaten nicht vor. Laut Zuordnung sind zudem Zoho, SimpleHelp Ltd und Light Code Labs (Caddy) betroffen.

In D-Link DIR-825M 1.1.8 wurde eine Schwachstelle in der Funktion sub_46725C der Datei /boafrm/formDiskFormat der Komponente Disk Formatting Handler Endpoint identifiziert. Die Manipulation eines Parameters ist laut CVSS-Vektor aus dem Netzwerk mit geringen Rechten und ohne Nutzerinteraktion ausnutzbar. Betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit jeweils vollständig, zudem wirkt sich die Schwachstelle über Sicherheitsgrenzen hinweg aus (Scope: Changed). CVSS-Basiswert: 9.9 (Kritisch).

txtai bis einschliesslich Version 9.10.0 stellt einen API-Endpunkt /reindex bereit, dessen function-Parameter im Request-Body über txtai.util.Resolver aufgelöst wird; dieser führt __import__ und getattr auf den übergebenen Wert aus. Behoben ist das Problem laut Quelle in Commit 11b32da. Der Angriff erfolgt über das Netzwerk ohne Rechte und ohne Benutzerinteraktion (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: den Fix aus Commit 11b32da einspielen.

Keysight IxChariot Endpoint enthält laut NVD vor Version 9.5.102 einen Heap-basierten Pufferüberlauf. Ein nicht authentifizierter, entfernter Angreifer kann durch ein speziell präpariertes Paket den Endpoint zum Absturz bringen oder laut Quellbeschreibung möglicherweise Code ausführen; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Einstufung liegt in den Quelldaten nicht vor. Als weitere Produktbezüge gemäss Zuordnung sind Zoho ManageEngine und SimpleHelp genannt.

Keysight IxChariot Endpoint enthält vor Version 9.5.102 einen Stack-basierten Pufferüberlauf. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Netzwerkpaket den Endpoint zum Absturz bringen oder möglicherweise Code zur Ausführung bringen. CVSS-Basiswert: 9.8 (Kritisch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Die Applikationen Appriss Insights (Equifax) Victim Information Notification Exchange (VINE) erlauben einem nicht authentifizierten Angreifer, über eine speziell präparierte Anfrage die Login-Seite zu umgehen und auf weitere Bereiche zuzugreifen. Der Zugriff ist aus der Ferne ohne Anmeldung möglich. CVSS-Basiswert: 9.8 (Kritisch).

Incus, ein System-Container- und VM-Manager, ist vor Version 7.1.0 über den S3-Protokoll-Upload-Endpunkt für Path Traversal anfällig und erlaubt dadurch das Erstellen beliebiger Dateien auf dem Host. CVSS-Basiswert: 9.9 (Kritisch).

In kotaemon bis Version 0.12.0 ermöglicht der Endpoint check_connection eine unsichere Deserialisierung: Nicht authentifizierte Angreifer können durch präparierte Eingaben beliebige Python-Klassen instanziieren. Die Schwachstelle erlaubt damit potenziell die Ausführung von Schadcode ohne vorherige Anmeldung. CVSS-Basiswert: 9.8 (Kritisch).

In Vvveb vor Version 1.0.8.1 besteht eine Code-Injection-Schwachstelle im Installations-Endpunkt: Der POST-Parameter subdir wird ungeprüft und ohne Escaping in die Konfigurationsdatei env.php geschrieben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Vvveb 1.0.8.1 oder neuer aktualisieren.

Eine unzureichende Eingabevalidierung im Zoom Desktop Client für Windows, im Zoom VDI Client für Windows und im Zoom Meeting SDK für Windows kann nicht authentifizierten Angreifern eine Kontoübernahme über das Netzwerk ermöglichen. Der Angriff erfordert keine vorherige Anmeldung. CVSS-Basiswert: 9.8 (Kritisch).

Adobe Connect in den Versionen 2025.9.15, 2025.8.157 und älter ist laut NVD von einer Deserialisierung nicht vertrauenswürdiger Daten betroffen, die eine beliebige Codeausführung im Kontext des aktuellen Benutzers ermöglichen kann. Gemäss CVSS-Vektor reicht die Auswirkung über die verwundbare Komponente hinaus. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

DumbAssets bis einschliesslich Version 1.0.11 enthält eine Path-Traversal-Schwachstelle im Endpunkt POST /api/delete-file und im Parameter filesToDelete. Nicht authentifizierte Angreifer können damit beliebige Dateien löschen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Adobe Connect in den Versionen 2025.3, 12.10 und früher ist von einer Deserialisierungsschwachstelle (Deserialization of Untrusted Data) betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In der No-Code-/Low-Code-Plattform NocoBase gab das Plugin @nocobase/plugin-notification-in-app-message vor Version 2.0.61 einen GET-/api-Endpunkt ungeschützt frei. CVSS-Basiswert: 10 (Kritisch). Der Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) weist einen ohne Authentifizierung über das Netzwerk ausnutzbaren Angriff mit Scope-Wechsel und vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit aus. Empfohlene Massnahme: auf NocoBase 2.0.61 oder neuer aktualisieren.

Das WordPress-Plugin MStore API (Version 2.0.6) enthält eine Schwachstelle zum Hochladen beliebiger Dateien. Nicht authentifizierte Angreifer können über POST-Anfragen an den REST-API-Endpunkt schädliche Dateien hochladen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In ThemisNETPanel besteht eine Schwachstelle zur entfernten Codeausführung, weil eine kritische Datei-Upload-Funktion ohne Authentifizierung erreichbar ist. Die Anwendung stellt laut Quelle einen Endpunkt bereit, den nicht authentifizierte Angreifer nutzen können. CVSS-Basiswert: 9.3 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die Verwaltungsoberfläche nicht aus dem Internet erreichbar machen und Herstellerhinweise gemäss EUVD-Eintrag beachten.

V2Board 1.6.1 bis 1.7.4 und Xboard bis 0.1.9 geben Authentifizierungs-Token im HTTP-Antwortkörper des Endpunkts loginWithMailLink preis, sofern die Funktion login_with_mail_link_enable aktiv ist. Nicht authentifizierte Angreifer können die Token so abgreifen. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren oder die betroffene Funktion deaktivieren.

Es wurde eine Schwachstelle in einem /save-document-Endpunkt gemeldet, über die ein nicht authentifizierter, entfernter Angreifer beliebige JSON-Dateien in das Dateisystem des Servers schreiben kann. Betroffen sind Integrität und Verfügbarkeit des Systems. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In SiYuan vor Version 3.7.2 besteht eine fehlende Autorisierungsprüfung im Kernel-Endpunkt POST /mcp. Der Endpunkt ist nur durch eine allgemeine Authentifizierungsprüfung (model.CheckAuth) abgesichert, ohne Durchsetzung einer Admin-Rolle oder eines Nur-Lese-Zugriffs. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: auf SiYuan 3.7.2 oder neuer aktualisieren.

In Alex Tselegidis EasyAppointments bis Version 1.5.1 besteht im order_by-Parameter des Endpunkts /customers/search eine SQL-Injection-Schwachstelle. Ursache ist eine nicht ausreichend bereinigte Verarbeitung von Nutzereingaben. CVSS-Basiswert: 9.1 (Kritisch).

Die Funktion mp_Enddisc() verwendete falsche Längenberechnungen bei der Formatierung von Endpoint-Discriminator-Adressen zur Anzeige. Dadurch kann eine empfangene Endpoint-Option einen globalen Ergebnispuffer zum Überlauf bringen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Funktion LcpDecodeConfig() prüft die Länge empfangener Endpoint-Discriminator-Optionen nicht gegen den von RFC 1717 geforderten Mindestwert; zu kurz bemessene Optionen lösen dadurch einen Out-of-Bounds-Schreibzugriff aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Bezug zu Ransomware ist nicht bekannt.

Ein Heap-basierter Pufferüberlauf im Remote Desktop Client erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Ein CVSS-Vektor mit netzbasiertem Angriffsweg ohne erforderliche Rechte liegt vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

Im mcp-http-server-Paket von UI-TARS-desktop bindet startServer.ts die Listen-Adresse standardmässig auf „::“ (alle Netzwerkschnittstellen), wenn kein Host angegeben wird. Dadurch stellt startSseAndStreamableHttpMcpServer die Streamable-HTTP- und SSE-MCP-Endpunkte im gesamten Netzwerk bereit, statt sie auf localhost zu beschränken. CVSS-Basiswert: 10.0 (Kritisch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

In scalar/astro v0.1.13 besteht eine Schwachstelle für beliebigen Datei-Upload über den Parameter scalar_url des Scalar-Proxy-Endpunkts. Angreifer können dies laut Quellbeschreibung ausnutzen, um Code auszuführen. Da keine Authentifizierung und keine Nutzerinteraktion erforderlich sind, ist die Lücke aus dem Netz erreichbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In scalar/astro in der Version 0.1.13 wurde eine Server-Side Request Forgery (SSRF) festgestellt. Die Schwachstelle liegt laut Quelle im Query-Parameter scalar_url des Scalar-Proxy-Endpunkts und erlaubt es nicht authentifizierten Angreifern, den Server zu Anfragen an frei wählbare Ziele zu veranlassen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

CodeAstro Membership Management System 1.0 ist über den Parameter id im Endpunkt edit_type.php für SQL-Injection anfällig. Ein Angreifer kann darüber Datenbankabfragen manipulieren und potenziell auf gespeicherte Daten zugreifen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das WordPress-Plugin FormGent prüft am REST-API-Endpunkt /wp-json/formgent/responses/attachments keine ausreichende Berechtigung (Missing Capability Check), wodurch nicht authentifizierte Angreifer beliebige Dateien löschen können. Laut NVD sind alle Versionen des Plugins betroffen. CVSS-Basiswert: 9.1 (Kritisch).

Die CPE-Modelle T625Pro v1.0.07 und T6825G v1.0.03 von T3 Technology enthalten einen undokumentierten Debug-CGI-Endpunkt. Nicht authentifizierte Angreifer können darüber mit einer präparierten HTTP-Anfrage beliebige Systembefehle mit root-Rechten ausführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Authorizer ist ein Open-Source-Authentifizierungs- und Autorisierungsserver zum Selbstbetrieb. Vor Version 2.2.1 akzeptiert der Endpoint /authorize laut NVD jeden redirect_uri-Wert, ohne ihn gegen eine Liste erlaubter Redirect-Ziele zu prüfen. CVSS-Basiswert: 9.3 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Laut NVD sind IBM Aspera High-Speed Transfer Endpoint 3.7.4 bis 4.4.7 Fix Pack 1 sowie IBM Aspera High-Speed Transfer Server 3.7.4 bis 4.4.7 Fix Pack 1 von der Schwachstelle betroffen. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Der Angriff ist gemäss Vektor ohne Authentifizierung und ohne Benutzerinteraktion über das Netzwerk möglich. Administratoren sollten die betroffenen Produkte prüfen und verfügbare Updates des Herstellers einspielen.

In der IBM Aspera Desktop App erlauben die Versionen 1.0.5 bis 1.0.19 das Schreiben von Dateien ausserhalb des vom Nutzer gewählten Download-Ziels. Der Angriff erfordert laut CVSS-Vektor eine Nutzerinteraktion, kann aber ohne vorherige Rechte über das Netzwerk erfolgen. CVSS-Basiswert: 9.3 (Kritisch).

Im Produkt Oracle Identity Manager Connector von Oracle Fusion Middleware (Komponente PeopleSoft Applications) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die Sicherheitsupdates aus dem Oracle Critical Patch Update einspielen.

Eine kritische Schwachstelle betrifft laut Quelle das Produkt Oracle Retail Integration Bus der Oracle Retail Applications (Komponente: RIB Kernel). Betroffen ist die Version 16.0.3; die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion leicht ausnutzbar (AV:N/AC:L/PR:N/UI:N) und kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.