Zoho ManageEngine Seite 5

Zohocorp ManageEngine ADSelfService Plus in Versionen vor 6519 ist durch fehlerhafte Filterkonfigurationen für eine Authentifizierungsumgehung anfällig. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf ADSelfService Plus 6519 oder neuer aktualisieren.

Im WordPress-Plugin WP Gravity Forms Zoho CRM and Bigin (gf-zoho) ermöglicht eine unsichere Deserialisierung nicht vertrauenswürdiger Daten eine Object Injection. Betroffen sind alle Versionen bis einschliesslich 1.2.9. Angreifer können darüber eingeschleuste Objekte verarbeiten lassen und so die Integrität und Vertraulichkeit des Systems gefährden. CVSS-Basiswert: 9.8 (Kritisch).

In Ivanti Endpoint Manager vor Version 2024 SU4 SR1 erlaubt eine gespeicherte Cross-Site-Scripting-Schwachstelle einem nicht authentifizierten Angreifer aus der Ferne, beliebiges JavaScript im Kontext einer Administrator-Sitzung auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Update auf Version 2024 SU4 SR1 oder neuer.

Remote Keyboard Desktop 1.0.1 ermöglicht entfernten Angreifern die Ausführung von Systembefehlen über eine per rundll32.exe exportierte Funktion und damit eine nicht authentifizierte Codeausführung. Laut CVSS-Vektor ist der Angriff aus dem Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion möglich (AV:N/AC:L/PR:N/UI:N). CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle in der Plattform-Komponente von Oracle Financial Services Analytical Applications Infrastructure erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP die Kompromittierung des Produkts. Betroffen sind die Versionen 8.0.7.9, 8.0.8.7 und 8.1.2.5; ein erfolgreicher Angriff kann zur vollständigen Übernahme führen. CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle in der Poly Lens Desktop-Anwendung unter Windows kann Änderungen am Dateisystem ermöglichen, die zur Erlangung von SYSTEM-Rechten führen können. Betroffen sind Produkte von Poly/RingCentral. CVSS-Basiswert: 9.8 (Kritisch).

Ein unsicherer Suchpfad (Untrusted Search Path) in bestimmten Zoom Clients für Windows kann es einem nicht authentifizierten Benutzer erlauben, über Netzwerkzugriff eine Rechteausweitung durchzuführen. CVSS-Basiswert: 9.6 (Kritisch).

GitKraken Desktop 10.8.0 und 11.1.0 ist aufgrund falsch konfigurierter Electron Fuses für Code-Injection anfällig. Da RunAsNode aktiviert und EnableNodeCliInspectArguments nicht deaktiviert ist, lässt sich die Anwendung im Node.js-Modus ausführen, wodurch Angreifer über übergebene Argumente beliebigen Code ausführen können. CVSS-Basiswert: 9.8 (Kritisch).

Adobe Connect in Version 24.0 und älter ist von einer Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten betroffen, die zur Ausführung beliebigen Codes durch einen Angreifer führen kann. Die Ausnutzung erfordert Benutzerinteraktion und ändert den Geltungsbereich (Scope). CVSS-Basiswert: 9.6 (Kritisch).

Eine unsichere Deserialisierung im Trend Micro Endpoint Encryption PolicyServer kann zu einer Remote Code Execution vor der Authentifizierung führen. Die Schwachstelle ähnelt CVE-2025-49220, betrifft jedoch eine andere Methode. Ein nicht authentifizierter Angreifer kann sie über das Netzwerk ausnutzen. CVSS-Basiswert: 9.8 (Kritisch).

Im Trend Micro Endpoint Encryption PolicyServer besteht eine unsichere Deserialisierung, die eine Remote Code Execution vor der Authentifizierung ermöglicht. Angreifer können betroffene Installationen ohne gültige Anmeldedaten übernehmen. Die Schwachstelle ähnelt CVE-2025-49212, betrifft jedoch eine andere Methode. CVSS-Basiswert: 9.8 (Kritisch).

Eine unsichere Deserialisierung im Trend Micro Endpoint Encryption PolicyServer kann zu einer Remote-Code-Ausführung vor der Authentifizierung auf betroffenen Installationen führen. Die Schwachstelle ähnelt CVE-2025-49213, betrifft jedoch eine andere Methode. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Eine Authentifizierungsumgehung im Trend Micro Endpoint Encryption PolicyServer erlaubt einem Angreifer, zentrale Methoden als Admin-Benutzer aufzurufen und Produktkonfigurationen auf betroffenen Installationen zu verändern. CVSS-Basiswert: 9.8 (Kritisch).

Zohocorp ManageEngine Exchange Reporter Plus in Version 5721 und aelter ist im Modul Content Search für Remote Code Execution anfällig. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version.

In Power Automate erlaubt die Offenlegung sensibler Informationen gegenüber einem nicht berechtigten Akteur einem Angreifer, seine Rechte über das Netzwerk auszuweiten. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen, sobald verfügbar.

Angreifer können schädlichen Code einschleusen und dadurch potenziell die Kontrolle über das System erlangen, das die betroffenen Funktionen ausführt. Zusätzlich ermöglicht die unzureichende Prüfung von Dateinamen beim Upload das Hochladen und Ausführen schädlicher Dateien, was zu einer beliebigen Code-Ausführung führt. CVSS-Basiswert: 9.8 (Kritisch).

In der Desktop-Version von mintplex-labs/anything-llm v1.5.11 für Windows öffnet die Anwendung standardmässig den Serverport 3001 auf 0.0.0.0 ohne jede Authentifizierung. Dadurch kann ein Angreifer vollständigen Backend-Zugriff erlangen und beispielsweise sämtliche Daten des Arbeitsbereichs löschen. CVSS-Basiswert: 9.8 (Kritisch).

Die Konfiguration von gnome-control-center in Ubuntu erlaubte es, dass die Remote-Desktop-Freigabe standardmässig aktiviert war. CVSS-Basiswert: 9.8 (Kritisch).

In Ivanti EPM besteht eine Schwachstelle durch absolute Pfad-Traversierung. Ein nicht authentifizierter entfernter Angreifer kann sie ausnutzen, um sensible Informationen auszulesen. Betroffen sind Versionen vor dem January-2025 Security Update sowie 2022 SU6 vor dem entsprechenden January-2025 Security Update. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Installation des January-2025 Security Update.

In Ivanti Endpoint Manager vor dem November-Security-Update 2024 beziehungsweise vor 2022 SU6 November-Security-Update besteht eine SQL-Injection-Schwachstelle. Ein entfernter, nicht authentifizierter Angreifer kann darüber Remote-Code-Ausführung erreichen. Angesichts der fehlenden Authentifizierung und der Möglichkeit zur Codeausführung ist die Lücke besonders schwerwiegend. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf das November-Security-Update 2024 beziehungsweise 2022 SU6 November-Security-Update.

Im Nextcloud Desktop Client 3.13.1 bis 3.13.3 unter Linux können zwischen Server und Client synchronisierte Dateien für alle Benutzer schreib- oder lesbar (world writable bzw. world readable) werden. Behoben in Version 3.13.4. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 3.13.4.

Im Agent-Portal von Ivanti EPM erlaubt die Deserialisierung nicht vertrauenswürdiger Daten einem nicht authentifizierten Angreifer aus der Ferne eine Remote Code Execution. Betroffen sind Versionen vor 2022 SU6 sowie vor dem September-2024-Update. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf 2022 SU6 bzw. das September-2024-Update aktualisieren.

Eine unzureichende Autorisierung in einer Web-Komponente von Ivanti EPMM vor Version 12.1.0.1 erlaubt einem nicht autorisierten Angreifer im Netzwerk, beliebige Befehle auf dem zugrundeliegenden Betriebssystem der Appliance auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf EPMM 12.1.0.1 oder neuer.

Another Redis Desktop Manager in Versionen bis einschliesslich 1.6.1 ist laut NVD über die Komponente src/components/Setting.vue für Cross-Site-Scripting (XSS) anfällig. Angreifer können darüber Schadskripte im Kontext der Anwendung ausführen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Eine fehlerhafte Authentifizierung in der Vault-Passwortfunktion von Devolutions Remote Desktop Manager 2024.1.31.0 und früher erlaubt es einem Angreifer, der bereits Zugriff auf eine RDM-Instanz kompromittiert hat, über die Offline-Modus-Funktion das Master-Passwort des Vaults zu umgehen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

In mintplex-labs/anything-llm besteht eine Cross-Site-Scripting-Schwachstelle (XSS), die sowohl die Desktop-Anwendung 1.2.0 als auch die aktuelle Web-Anwendung betrifft. Sie entsteht durch die Funktion, Inhalte von Websites in Workspaces einzubetten, wodurch beliebiger JavaScript-Code ausgeführt werden kann. In der Desktop-Anwendung lässt sich der Fehler wegen unsicherer Electron-Einstellungen (aktiviertes nodeIntegration, deaktiviertes contextIsolation) zu einer Remote Code Execution eskalieren. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: auf Version 1.4.2 der Desktop-Anwendung aktualisieren.

In Fortinet FortiClientEMS besteht eine unzureichende Neutralisierung von Formelelementen in CSV-Dateien. Ein Angreifer kann darüber mittels speziell gestalteter Pakete unautorisiert Code oder Befehle ausführen. CVSS-Basiswert: 9.6 (Kritisch). Betroffen sind FortiClientEMS 7.2.0 bis 7.2.2, 7.0.0 bis 7.0.10, 6.4.0 bis 6.4.9, 6.2.0 bis 6.2.9 sowie 6.0.0 bis 6.0.8. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren.

Zoho ManageEngine ADAudit Plus bis Version 7250 ist in der Report-Export-Option für SQL-Injection anfällig. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Zoho ManageEngine ADAudit Plus bis einschliesslich Version 7250 erlaubt eine SQL-Injection in der Funktion für aggregierte Berichte. Ein Angreifer kann darüber manipulierte SQL-Abfragen einschleusen. CVSS-Basiswert: 9.8 (Kritisch).

Im X.Org Server wurde ein Fehler gefunden: Sowohl das DeviceFocusEvent als auch die XIQueryPointer-Antwort enthalten ein Bit pro aktuell gedrückter logischer Taste. Tasten lassen sich beliebig auf Werte bis 255 abbilden, doch der X.Org Server reservierte nur Speicher für die tatsächliche Tastenanzahl des Geräts, was bei einem grösseren Wert zu einem Heap-Overflow führt. CVSS-Basiswert: 9.8 (Kritisch).

Der Dokumentbetrachter Atril ist laut NVD für eine kritische Command-Injection-Schwachstelle anfällig. Öffnet ein Anwender ein präpariertes CBT-Dokument (ein TAR-Archiv) oder klickt er auf einen präparierten Link, erhält der Angreifer unmittelbaren Zugriff auf das Zielsystem. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: den bereitgestellten Patch (Commit ce41df6) einspielen.

In der uploadMib-Funktion von ManageEngine OpManager 12.7.258 besteht eine Directory-Traversal-Schwachstelle. Über eine speziell gestaltete HTTP-Anfrage mit einer bösartigen MiB-Datei kann ein Angreifer beliebige Dateien anlegen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf eine bereinigte OpManager-Version aktualisieren, sobald verfügbar.

In Devolutions Remote Desktop Manager 2023.3.4.0 und früher unter iOS besteht eine clientseitige Umgehung von Berechtigungen. Ein Angreifer mit Zugriff auf die Anwendung kann Einträge in einer SQL-Datenquelle ohne Einschränkungen ausführen. Dadurch lassen sich vorgesehene Zugriffskontrollen umgehen. CVSS-Basiswert: 9.8 (Kritisch).

In Ivanti EPMM (Endpoint Manager Mobile) Versionen 11.10, 11.9, 11.8 und älter erlaubt eine Schwachstelle einem nicht authentifizierten Angreifer, sich während des Geräte-Enrollment-Prozesses als beliebiger bestehender Benutzer auszugeben. Dies ermöglicht unbefugten Zugriff und potenziellen Missbrauch von Benutzerkonten und Ressourcen. CVSS-Basiswert: 9.8 (Kritisch).

In Ivanti EPMM (Versionen 11.10, 11.9 und ältere 11.8) erlaubt laut NVD eine Schwachstelle einem Angreifer, der die Kennung eines registrierten Geräts kennt, den Zugriff auf und die Extraktion sensibler Informationen wie Geräte- und Umgebungskonfigurationen sowie Geheimnisse. Dies kann vertrauliche Daten und die Systemintegrität gefährden. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: die betroffene Software gemäss Ivanti-Advisory aktualisieren.

Eine unsachgemässe Zugriffskontrolle in der Passwort-Analyzer-Funktion von Devolutions Remote Desktop Manager 2023.2.33 und früher unter Windows erlaubt es einem Angreifer, Berechtigungen durch Wechsel der Datenquelle zu umgehen. CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle in Remote Desktop Manager 2023.2.33 und aelter unter Windows erlaubt einem Angreifer, über ein speziell praepariertes TCP-Paket Code aus einer anderen Windows-Nutzersitzung auf demselben Host auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

Eine unsichere Deserialisierung von Benutzereingaben in Ivanti Endpoint Manager 2022 su3 und allen früheren Versionen kann zur Ausführung nicht autorisierter Operationen führen. Ein Angreifer kann darüber aus der Ferne Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Eine unzureichende Prüfung von Berechtigungen bei der Nutzung von Remote-Tools und Makros in Devolutions Remote Desktop Manager Version 2023.2.19 und früher erlaubt einem Benutzer, über die Remote-Tools-Funktion eine Verbindung ohne die erforderlichen Ausführungsrechte aufzubauen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf eine fehlerbereinigte Version.

Eine unzureichende Neutralisierung von Sonderzeichen im Zoom Desktop Client für Windows und im Zoom VDI Client vor Version 5.15.2 kann einem nicht authentifizierten Benutzer über Netzwerkzugriff eine Rechteausweitung ermöglichen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 5.15.2 oder neuer.

Kaspersky-Antivirenprodukte für Privatanwender und Kaspersky Endpoint Security mit Antiviren-Datenbanken, die vor dem 12. März 2022 veröffentlicht wurden, enthielten einen Fehler in einem Datenparsing-Modul, der einem Angreifer potenziell die Ausführung beliebigen Codes erlaubte. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Der Fix wurde laut Hersteller automatisch über die Datenbank-Updates ausgeliefert.

In der Datei inffast.c der Kompressionsbibliothek zlib 1.2.8 kann eine fehlerhafte Zeigerarithmetik von kontextabhängigen Angreifern ausgenutzt werden und dabei nicht näher spezifizierte Auswirkungen haben. Da zlib in zahlreiche Betriebssysteme und Produkte eingebettet ist, betrifft die Schwachstelle eine breite Palette von Herstellern. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die von den jeweiligen Herstellern bereitgestellten Aktualisierungen für die betroffenen Produkte einspielen.

Im Admin-Panel von Ivanti EPMM vor Version 12.6.0.2, 12.5.0.4 und 12.4.0.4 besteht eine OS-Command-Injection-Schwachstelle. Ein entfernter authentifizierter Angreifer mit Admin-Rechten kann dadurch Remote Code Execution erreichen. CVSS-Basiswert: 7.2 (Hoch).

In Ivanti Endpoint Manager vor Version 2024 SU4 besteht eine Path-Traversal-Schwachstelle, die einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Codes erlaubt. Zur Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Ivanti Endpoint Manager 2024 SU4.

Eine unzureichende Validierung von Dateinamen in Ivanti Endpoint Manager vor 2024 SU3 SR1 und 2022 SU8 SR2 erlaubt einem entfernten, nicht authentifizierten Angreifer die Ausführung von beliebigem Code (Remote Code Execution). Für die Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf die fehlerbereinigten Versionen 2024 SU3 SR1 bzw. 2022 SU8 SR2 aktualisieren.

In Ruijie EG105G-P 2.340 besteht eine Schwachstelle in der Funktion nslookup der Datei /cgi-bin/luci/api/diagnose, Bestandteil des JSON-RPC-Diagnose-Endpunkts. Über diesen Endpunkt lässt sich eine Manipulation durchführen, die zu einer Kompromittierung des Geräts führen kann. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.4 %.

Zohocorp ManageEngine ADSelfService Plus (vor 6525), DataSecurity Plus (vor 6264) und RecoveryManager Plus (vor 6313) sind für eine authentifizierte Remote Code Execution auf der Agent-Maschine anfällig. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %. Empfohlene Massnahme: die betroffenen ManageEngine-Produkte auf die genannten fehlerbereinigten Build-Stände aktualisieren.

Im Endpunkt /cgi-bin/tools/ajax_cmd von Panabit PAP-XM320 bis einschliesslich Version 7.7 besteht eine Command-Injection-Schwachstelle. Die CGI-Komponente erlaubt authentifizierten Benutzern die Ausführung beliebiger Shell-Befehle. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

In EFM ipTIME AX8004M 15.09.0 besteht in der Funktion popen der Datei /cgi/d.cgi (Komponente CGI Endpoint) eine Schwachstelle. Eine Manipulation des Arguments fname ermöglicht laut Quelle deren Ausnutzung; die weiteren Details der Quellbeschreibung liegen abgeschnitten vor. CVSS-Basiswert: 7.3 (Hoch).

In GL.iNet AX1800 bis Version 4.8.3 wurde laut NVD eine Schwachstelle in der Funktion remove_rule der Datei /usr/share/gl-ngx/oui-rpc.lua identifiziert, die zur Komponente RPC Endpoint gehört. Die Quellbeschreibung bricht bei der Angabe der genauen Auswirkung ab, weshalb hierzu keine weiteren Details vorliegen. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.