Zoho ManageEngine Seite 4

Der Endpunkt /api/social-sign-in von bookcars v8.3 authentifiziert unsicher. Angreifer können die Authentifizierung mit einem gefälschten JWT-Token umgehen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

OpenYak ist eine lokale Agent-Runtime mit Desktop-Workspace für werkzeugnutzende Modelle. Vor Version 1.1.3 bindet das OpenYak-Desktop-Backend eine HTTP-API an 127.0.0.1 auf einem laut Quelle zufälligen Port. CVSS-Basiswert: 9.6 (Kritisch).

Im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM besteht in der Komponente Siebel Cloud Manager eine Schwachstelle. Betroffen sind die unterstützten Versionen 22.3 bis 26.6. Die Quelle beschreibt die Schwachstelle als leicht ausnutzbar. CVSS-Basiswert: 9.9 (Kritisch).

SiYuan enthält vor Version 3.7.3 SQL-Injection-Schwachstellen im Endpunkt fullTextSearchAssetContent, der von nicht authentifizierten Nutzern erreichbar ist und RoleReader-Tokens veröffentlicht. CVSS-Basiswert: 10.0 (Kritisch). Der Angriff ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung und ohne Nutzerinteraktion möglich, mit hohen Auswirkungen auf Vertraulichkeit und Integrität bei verändertem Wirkungsbereich.

Im Chatbot-Builder Typebot erlaubt der Preview-Chat-Endpunkt (POST /api/v1/typebots/{typebotId}/preview/startChat) in den Versionen bis einschliesslich 3.15.2 nicht authentifizierten Nutzern eine Server-Side Request Forgery (SSRF). CVSS-Basiswert: 10 (Kritisch). Der Angriff ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion möglich (AV:N/AC:L/PR:N/UI:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Produkt Oracle Retail Integration Bus der Oracle Retail Applications (Komponente RIB Kernal) besteht eine kritische Schwachstelle. Betroffen ist laut Quelle die Version 14.1.3.2. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) weist auf eine aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbare Lücke hin. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Version gemäss Hersteller-Advisory aktualisieren.

Die Desktop-Anwendung SiYuan vor Version 3.7.2 enthält im Readme-Handler des Bazaar-Plugins eine reflektierte Cross-Site-Scripting-Schwachstelle. Über eine präparierte siyuan:-URI können Angreifer damit beliebigen Code zur Ausführung bringen. CVSS-Basiswert: 9.6 (Kritisch).

Der Login-Endpunkt von Typemill (POST /tm/login, ControllerWebAuth::login()) verzichtet auf Rate-Limiting, eine Zählung fehlgeschlagener Anmeldeversuche sowie eine Kontosperrung, sofern das Captcha deaktiviert ist – der Standardkonfiguration. Dies ermöglicht automatisierte Brute-Force-Angriffe auf Benutzerkonten. CVSS-Basiswert: 9.1 (Kritisch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Spring MVC- und WebFlux-Anwendungen sind laut Quelle anfällig für Stream-Korruption bei der Verwendung von Server-Sent Events (SSE) mit View Fragments. Betroffen sind Spring Framework 7.0.0–7.0.8 sowie 6.2.0–6.2.19. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

In Adobe Connect Version 2025.3, 12.10 und früher besteht eine Reflected-XSS-Schwachstelle, über die ein Angreifer schädliche Skripte in Webseiten einschleusen kann. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Adobe Connect in Version 2025.3, 12.10 und früher ist von einer Reflected-Cross-Site-Scripting-Schwachstelle (XSS) betroffen. Ein Angreifer könnte diese ausnutzen, um schädliche Skripte in eine Webseite einzuschleusen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Adobe Connect Version 2025.3, 12.10 und früher besteht eine DOM-basierte XSS-Schwachstelle, über die ein Angreifer schädliche Skripte in Webseiten einschleusen kann. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

FreeScout ist ein freies Helpdesk- und Shared-Inbox-System auf Basis des PHP-Frameworks Laravel. In Versionen vor 1.8.224 ist der öffentliche Endpunkt POST /user-setup/{hash}/{invite_sent_at} (OpenController@userSetupSave) betroffen. CVSS-Basiswert: 9.4 (Kritisch).

Über den SSO-OAuth-Endpunkt von Koollab LMS kann ein nicht authentifizierter Angreifer mittels einer zeitbasierten SQL-Injection (Blind SQLi) sensible Datenbankinhalte auslesen. Die Schwachstelle erfordert keine vorherige Authentifizierung. CVSS-Basiswert: 9.1 (Kritisch).

Laut NVD besteht in Koollab LMS eine SQL-Injection- und unsichere Deserialisierungs-Schwachstelle: Ein authentifizierter Angreifer kann über den Endpunkt zur Assessment-Wiederholung Daten einschleusen, die anschliessend an unserialize() übergeben werden. CVSS-Basiswert: 9.9 (Kritisch).

Die Schwachstelle betrifft eine SQL-Injection- und Deserialisierungs-Lücke in Koollab LMS: Ein authentifizierter Angreifer kann über den Endpunkt für Bewertungs-Gesamtantworten Eingaben injizieren und dadurch Daten kontrollieren, die an unserialize() übergeben werden. CVSS-Basiswert: 9.9 (Kritisch). Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führen.

In Koollab LMS erlaubt eine Schwachstelle im Endpunkt für die manuelle Bewertungsabgabe (Manual Mark Assessment) einem authentifizierten Angreifer eine SQL-Injection. Zusätzlich werden dabei Daten ungeprüft an die Funktion unserialize() übergeben, wodurch eine unsichere Deserialisierung mit Kontrolle über die verarbeiteten Objekte möglich wird. CVSS-Basiswert: 9.9 (Kritisch).

Im Produkt Oracle Applications Framework von Oracle E-Business Suite (Komponente Web Utilities) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.8 bis 12.2.15. Der CVSS-Vektor (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) weist auf eine aus dem Netzwerk ausnutzbare Lücke hin, die zwar hohe Privilegien voraussetzt, deren Auswirkung aber über die verwundbare Komponente hinausreicht. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: betroffene Version gemäss Hersteller-Advisory aktualisieren.

SiYuan vor Version 3.7.3 enthält eine SQL-Injection-Schwachstelle im Endpunkt /api/filetree/searchDocs: Der von Aufrufern übergebene keyword-Parameter wird ohne ausreichende Bereinigung direkt in SQL-Anweisungen eingefügt. CVSS-Basiswert: 10.0 (Kritisch).

Die Bibliothek @fastify/aws-lambda dekoriert in Version 6.4.0 jede Fastify-Anfrage mit den Werten request.awsLambda.event und request.awsLambda.context, die Anwendungen dokumentiert für Autorisierungsentscheidungen nutzen. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk mit geringer Angriffskomplexität, ohne erforderliche Rechte und ohne Nutzerinteraktion ausnutzbar; Vertraulichkeit und Integrität sind vollständig betroffen, die Verfügbarkeit nicht. CVSS-Basiswert: 9.1 (Kritisch).

Im Produkt Oracle Banking Trade Finance Process Management von Oracle Financial Services Applications (Komponente Common) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die Versionen 14.6.0 bis 14.8.0. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L) weist auf eine aus dem Netzwerk ohne Authentifizierung, aber mit erforderlicher Benutzerinteraktion ausnutzbare Lücke hin, deren Auswirkung über die verwundbare Komponente hinausreicht. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: betroffene Version gemäss Hersteller-Advisory aktualisieren.

CodeAstro Membership Management System 1.0 ist über den Parameter id im Endpunkt edit_type.php für SQL-Injection anfällig. Ein Angreifer kann darüber Datenbankabfragen manipulieren und potenziell auf gespeicherte Daten zugreifen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Mail-Funktion von Zoom Workplace für Windows vor Version 6.6.0 ermöglicht eine unsachgemässe externe Kontrolle von Dateinamen oder -pfaden einem nicht authentifizierten Angreifer über den Netzwerkzugang eine Rechteausweitung. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Liman ist eine quelloffene Software zur Serververwaltung. Vor Version 2.2.2-1103 erlaubt eine OS-Command-Injection-Schwachstelle im Endpunkt für die Log-Rotations-Konfiguration einem authentifizierten Administrator laut Quelle die Ausführung von Befehlen. CVSS-Basiswert: 9.1 (Kritisch). Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Im mcp-http-server-Paket von UI-TARS-desktop bindet startServer.ts die Listen-Adresse standardmässig auf „::“ (alle Netzwerkschnittstellen), wenn kein Host angegeben wird. Dadurch stellt startSseAndStreamableHttpMcpServer die Streamable-HTTP- und SSE-MCP-Endpunkte im gesamten Netzwerk bereit, statt sie auf localhost zu beschränken. CVSS-Basiswert: 10.0 (Kritisch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Incus, ein System-Container- und VM-Manager, ist vor Version 7.1.0 über den S3-Protokoll-Upload-Endpunkt für Path Traversal anfällig und erlaubt dadurch das Erstellen beliebiger Dateien auf dem Host. CVSS-Basiswert: 9.9 (Kritisch).

Der WLAN-Router Tenda W6-S enthält in Version 1.0.0.4(510) laut NVD eine stack-basierte Pufferüberlauf-Schwachstelle im Endpunkt /goform/wifiSSIDset. Die Funktion formwrlSSIDset kopiert dabei die nutzergesteuerten Parameter GO und index mittels sprintf. CVSS-Basiswert: 9.8 (Kritisch).

In Zohocorp ManageEngine ADAudit Plus vor Version 8606 ermöglicht eine verwundbare Agent-API nicht authentifizierten Angreifern die Remotecodeausführung. Der Angriff ist ohne vorherige Anmeldung aus dem Netzwerk möglich. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf ADAudit Plus Version 8606 oder neuer.

Das Grav API Plugin (grav-plugin-api) vor Version 1.0.4 prüft im Endpunkt POST /api/v1/auth/forgot-password die Herkunft des vom Client übermittelten Feldes admin_base_url nicht. Laut Quelle greift die vorgesehene Prüfung in sanitizeHttpUrl() hier nicht zuverlässig, sodass ein clientseitig kontrollierter Wert verarbeitet wird. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 1.0.4.

In Notesnook vor Web/Desktop-Version 3.3.15 und vor iOS/Android-Version 3.3.20 kann eine gespeicherte XSS-Schwachstelle im Notiz-Export zu einer Remote Code Execution in der Desktop-App eskalieren. Ursache ist, dass exportierte Notizfelder wie Titel, Headline und Inhalt ohne HTML-Escaping in die erzeugte HTML-Vorlage eingefuegt und beim PDF-Export in einem gleichnamigen, nicht-sandboxed iframe gerendert werden. In der Desktop-App wird dies zu RCE, weil Electron mit nodeIntegration true und contextIsolation false konfiguriert ist. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Web/Desktop 3.3.15 bzw. iOS/Android 3.3.20.

Notesnook ist eine Notiz-App. In Versionen vor 3.3.11 auf Web/Desktop und vor 3.3.17 auf Android/iOS kann ein Stored XSS im Rendering-Ablauf des Web Clippers zu Remote Code Execution in der Desktop-App eskaliert werden. Ursache ist, dass der Clipper vom Angreifer kontrollierte Attribute des Quellseiten-Root-Elements übernimmt und im Web-Clip-HTML speichert; beim späteren Öffnen wird dieses HTML in einem gleichartigen, nicht sandboxed iFrame gerendert. In der Desktop-App entsteht daraus RCE, da Electron mit nodeIntegration true und contextIsolation false konfiguriert ist. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Update auf Version 3.3.11 (Web/Desktop) beziehungsweise 3.3.17 (Android/iOS).

In Devolutions Remote Desktop Manager 2025.3.30 und früher wird die Einstellung zum Deaktivieren der Passwortspeicherung in Tresoren in der Komponente für Verbindungseinträge nicht korrekt durchgesetzt. Ein authentifizierter Benutzer kann dadurch Zugangsdaten dauerhaft in Tresoreinträgen ablegen, indem er bestimmte Verbindungstypen anlegt oder bearbeitet, während die Passwortspeicherung deaktiviert ist. Dies kann sensible Informationen gegenüber anderen Benutzern offenlegen. CVSS-Basiswert: 9.8 (Kritisch).

In Lanscope Endpoint Manager (On-Premises), Sub-Manager Server Ver. 9.4.7.3 und früher, besteht eine Path-Traversal-Schwachstelle. Angreifer können dadurch beliebige Dateien manipulieren und auf dem betroffenen System beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Zohocorp ManageEngine ADSelfService Plus in Versionen vor 6519 ist durch fehlerhafte Filterkonfigurationen für eine Authentifizierungsumgehung anfällig. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf ADSelfService Plus 6519 oder neuer aktualisieren.

Im WordPress-Plugin WP Gravity Forms Zoho CRM and Bigin (gf-zoho) ermöglicht eine unsichere Deserialisierung nicht vertrauenswürdiger Daten eine Object Injection. Betroffen sind alle Versionen bis einschliesslich 1.2.9. Angreifer können darüber eingeschleuste Objekte verarbeiten lassen und so die Integrität und Vertraulichkeit des Systems gefährden. CVSS-Basiswert: 9.8 (Kritisch).

In Ivanti Endpoint Manager vor Version 2024 SU4 SR1 erlaubt eine gespeicherte Cross-Site-Scripting-Schwachstelle einem nicht authentifizierten Angreifer aus der Ferne, beliebiges JavaScript im Kontext einer Administrator-Sitzung auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Update auf Version 2024 SU4 SR1 oder neuer.

Remote Keyboard Desktop 1.0.1 ermöglicht entfernten Angreifern die Ausführung von Systembefehlen über eine per rundll32.exe exportierte Funktion und damit eine nicht authentifizierte Codeausführung. Laut CVSS-Vektor ist der Angriff aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion möglich (AV:N/AC:L/PR:N/UI:N). CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle in der Plattform-Komponente von Oracle Financial Services Analytical Applications Infrastructure erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP die Kompromittierung des Produkts. Betroffen sind die Versionen 8.0.7.9, 8.0.8.7 und 8.1.2.5; ein erfolgreicher Angriff kann zur vollständigen Übernahme führen. CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle in der Poly Lens Desktop-Anwendung unter Windows kann Änderungen am Dateisystem ermöglichen, die zur Erlangung von SYSTEM-Rechten führen können. Betroffen sind Produkte von Poly/RingCentral. CVSS-Basiswert: 9.8 (Kritisch).

Ein unsicherer Suchpfad (Untrusted Search Path) in bestimmten Zoom Clients für Windows kann es einem nicht authentifizierten Benutzer erlauben, über Netzwerkzugriff eine Rechteausweitung durchzuführen. CVSS-Basiswert: 9.6 (Kritisch).

GitKraken Desktop 10.8.0 und 11.1.0 ist aufgrund falsch konfigurierter Electron Fuses für Code-Injection anfällig. Da RunAsNode aktiviert und EnableNodeCliInspectArguments nicht deaktiviert ist, lässt sich die Anwendung im Node.js-Modus ausführen, wodurch Angreifer über übergebene Argumente beliebigen Code ausführen können. CVSS-Basiswert: 9.8 (Kritisch).

Adobe Connect in Version 24.0 und älter ist von einer Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten betroffen, die zur Ausführung beliebigen Codes durch einen Angreifer führen kann. Die Ausnutzung erfordert Benutzerinteraktion und ändert den Geltungsbereich (Scope). CVSS-Basiswert: 9.6 (Kritisch).

Eine unsichere Deserialisierung im Trend Micro Endpoint Encryption PolicyServer kann zu einer Remote Code Execution vor der Authentifizierung führen. Die Schwachstelle ähnelt CVE-2025-49220, betrifft jedoch eine andere Methode. Ein nicht authentifizierter Angreifer kann sie über das Netzwerk ausnutzen. CVSS-Basiswert: 9.8 (Kritisch).

Im Trend Micro Endpoint Encryption PolicyServer besteht eine unsichere Deserialisierung, die eine Remote Code Execution vor der Authentifizierung ermöglicht. Angreifer können betroffene Installationen ohne gültige Anmeldedaten übernehmen. Die Schwachstelle ähnelt CVE-2025-49212, betrifft jedoch eine andere Methode. CVSS-Basiswert: 9.8 (Kritisch).

Eine unsichere Deserialisierung im Trend Micro Endpoint Encryption PolicyServer kann zu einer Remote-Code-Ausführung vor der Authentifizierung auf betroffenen Installationen führen. Die Schwachstelle ähnelt CVE-2025-49213, betrifft jedoch eine andere Methode. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Eine Authentifizierungsumgehung im Trend Micro Endpoint Encryption PolicyServer erlaubt einem Angreifer, zentrale Methoden als Admin-Benutzer aufzurufen und Produktkonfigurationen auf betroffenen Installationen zu verändern. CVSS-Basiswert: 9.8 (Kritisch).

Zohocorp ManageEngine Exchange Reporter Plus in Version 5721 und aelter ist im Modul Content Search für Remote Code Execution anfällig. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version.

In Power Automate erlaubt die Offenlegung sensibler Informationen gegenüber einem nicht berechtigten Akteur einem Angreifer, seine Rechte über das Netzwerk auszuweiten. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen, sobald verfügbar.

Angreifer können schädlichen Code einschleusen und dadurch potenziell die Kontrolle über das System erlangen, das die betroffenen Funktionen ausführt. Zusätzlich ermöglicht die unzureichende Prüfung von Dateinamen beim Upload das Hochladen und Ausführen schädlicher Dateien, was zu einer beliebigen Code-Ausführung führt. CVSS-Basiswert: 9.8 (Kritisch).

In der Desktop-Version von mintplex-labs/anything-llm v1.5.11 für Windows öffnet die Anwendung standardmässig den Serverport 3001 auf 0.0.0.0 ohne jede Authentifizierung. Dadurch kann ein Angreifer vollständigen Backend-Zugriff erlangen und beispielsweise sämtliche Daten des Arbeitsbereichs löschen. CVSS-Basiswert: 9.8 (Kritisch).