Zoho ManageEngine Seite 6

Zohocorp ManageEngine ADSelfService Plus in Versionen vor 6524 ist anfällig für eine Umgehung der Multi-Faktor-Authentifizierung. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 6524 oder neuer.

Das Grav API Plugin (Composer-Paket getgrav/grav-plugin-api) vor Version 1.0.10 validiert das Slug-Feld im Endpoint POST /pages/{route}/move nicht korrekt. PagesController::move() bereinigt den Slug unzureichend. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: auf Version 1.0.10 aktualisieren.

In der Tenda CX12L 16.03.53.12 wurde eine Schwachstelle in der Funktion setSchedWifi der Datei /goform/openSchedWifi entdeckt, die zum Komponentenbereich der Wi-Fi-Schedule-Konfiguration gehört. Eine Manipulation über diesen Endpunkt kann die Sicherheit des Geräts beeinträchtigen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: bereitgestellte Hersteller-Updates einspielen und den Zugriff auf die Verwaltungsschnittstelle einschränken.

JimuReport bis Version 2.5.0 stellt den Endpoint POST /jmreport/auto/export ohne Authentifizierung bereit: Der Handler ist mit @JimuNoLoginRequired annotiert, wodurch der JimuReportTokenInterceptor jegliche Authentifizierungsprüfung überspringt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Plugin Funnel Builder for WooCommerce Checkout enthält vor Version 3.15.0.3 eine Schwachstelle durch fehlende Autorisierung im öffentlichen Checkout-Endpunkt. Nicht authentifizierte Angreifer können dadurch interne Methoden aufrufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf Version 3.15.0.3 oder neuer.

NoteGen vor Version 0.32.0 gewährt dem Tauri-Shell-Plugin in den Standard-Desktop-Capabilities die Berechtigung shell:allow-execute für bash, python und python3 mit beliebigen Argumenten. JavaScript-Code, der in der Anwendung ausgeführt wird, kann über diese Freigabe entsprechende Shell-Befehle mit frei wählbaren Argumenten starten. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: auf NoteGen 0.32.0 oder höher aktualisieren.

Im Bestandteil Internal Operations des Produkts Oracle Applications DBA (Oracle E-Business Suite) besteht eine Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.3 bis 12.2.15. Der Angriff ist über das Netzwerk leicht durchführbar, setzt jedoch hohe Privilegien voraus; bei erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit betroffen. CVSS-Basiswert: 7.2 (Hoch).

In Progress Telerik UI for AJAX vor Version 2026.2.708 deserialisieren Anwendungen, die den cookie-basierten Speicher in RadPersistenceManager oder RadDockLayout nutzen, von Angreifern kontrollierte Cookie-Inhalte. Dadurch wird laut Quellbeschreibung eine unautorisierte Ausnutzung ermöglicht. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf eine gepatchte Version aktualisieren.

In den Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente Siebel Cloud Manager) besteht eine Schwachstelle. Laut Quelle sind die unterstützten Versionen 22.3-26.5 betroffen; die Schwachstelle wird als leicht ausnutzbar beschrieben. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk, mit geringer Komplexität, ohne Rechte und ohne Nutzerinteraktion und gefährdet die Verfügbarkeit. Ein fehlerbereinigter Stand sollte gemäss Herstellerangaben eingespielt werden.

In gnome-remote-desktop, wie es in Red Hat Enterprise Linux ausgeliefert wird, umgeht der Verbindungs-Handler des Daemons im System-Modus mit aktiviertem RDP die vorgesehene Verbindungsprüfung bei eingehenden Verbindungen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der Open-Source-Plattform Pimcore stellt der WebDAV-Asset-Endpunkt über den Pfad /asset/webdav{path} eine MOVE-Operation bereit, die ohne die erforderliche Authentifizierung erreichbar ist. Betroffen sind Versionen vor 11.5.17 (LTS) und 12.3.7. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: auf eine der bereinigten Versionen (11.5.17 LTS bzw. 12.3.7) aktualisieren.

Nuxt ist ein quelloffenes Web-Entwicklungsframework für Vue.js. Laut NVD dekodiert und hasht der interne Island-Renderer-Endpunkt /__nuxt_island/... in den Versionen 3.1.0 bis 3.21.10 sowie 4.5.1 angreiferkontrollierte JSON-Daten. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Eclipse Theia 1.66.0 bis einschliesslich 1.73.1 legt das Backend-Modul @theia/plugin-ext den HTTP-Endpoint /hostedPlugin/:pluginId/:path(*) offen, der den angeforderten Dateipfad auflöst. CVSS-Basiswert: 7.5 (Hoch).

In assafelovic gpt-researcher bis Version 3.4.3 besteht eine Schwachstelle in einer unbekannten Funktion der Komponente HTTP-REST-API-Endpoint. Durch Manipulation lässt sich eine fehlende Authentifizierung ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Keycloak wurde ein Fehler gefunden, durch den ein entfernter Angreifer Sicherheitskontrollen umgehen kann, indem er eine gültige SAML-Antwort eines externen Identity Providers (IdP) an den SAML-Endpunkt von Keycloak für den IdP-initiierten Anmeldeprozess sendet. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Gerapy bis einschliesslich Version 0.9.13 besteht eine Schwachstelle in einer unbekannten Funktion der Datei gerapy/server/core/views.py, die zur Komponente Project Upload Endpoint gehört. Durch Manipulation dieses Endpunkts lässt sich die Schwachstelle laut Quelle über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch).

Eine Schwachstelle betrifft das Produkt Oracle Applications DBA der Oracle E-Business Suite, konkret die Komponente ADPatch. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Es handelt sich um eine leicht ausnutzbare Schwachstelle. CVSS-Basiswert: 8.8 (Hoch).

In Oracle Hospitality Simphony, einem Produkt der Oracle Food and Beverage Applications (Komponente POS), besteht eine Schwachstelle. Laut Quelle sind die unterstützten Versionen 19.8-19.8.5, 19.9-19.9.3 und 19.10 betroffen. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk, mit geringer Komplexität, ohne Rechte und ohne Nutzerinteraktion und gefährdet die Vertraulichkeit. Ein fehlerbereinigter Stand sollte gemäss Herstellerangaben eingespielt werden.

In newpanjing SimpleUI 2026.01.13 betrifft eine Schwachstelle die Funktion self.get_action der Datei simpleui/admin.py in der Komponente AjaxAdmin AJAX Endpoint. Eine Manipulation über diesen Endpunkt ermöglicht einen Angriff aus dem Netzwerk ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch).

CTI-Transmute weist laut NVD und ENISA EUVD eine Schwachstelle durch unkontrollierten Ressourcenverbrauch auf. Betroffen ist der nicht authentifizierte Endpoint /activity_timeline, der einen vom Anfragenden frei wählbaren Parameter days entgegennimmt, ohne diesen ausreichend zu begrenzen. Weitere Details zur genauen Auswirkung liegen in den Quelldaten nicht vor, da die Beschreibung dort abbricht. CVSS-Basiswert: 8.7 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht eine fehlerhafte Zugriffskontrolle einem remote authentifizierten Angreifer, administrativen Zugriff zu erlangen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente Siebel Cloud Manager) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind gemäss Quelle die Versionen 22.3 bis 26.5. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit Auswirkung auf die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Trilium Notes ist eine plattformübergreifende, hierarchische Anwendung zum Aufbau grosser persoenlicher Wissensdatenbanken. In den Versionen 0.102.1 und aelter besteht eine Schwachstelle in der Clipper-API von Trilium Desktop. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb 0.102.1.

In TinyAGI 0.0.20 wurde in der Funktion collectFiles der Datei packages/core/src/response.ts (Komponente Message API Endpoint) eine Schwachstelle identifiziert. Laut Quelle führt eine Manipulation dieser Funktion zu einer Sicherheitsauswirkung; die Beschreibung liegt nur unvollständig vor. CVSS-Basiswert: 7.3 (Hoch).

Eine leicht ausnutzbare Schwachstelle in der Komponente Search Bean des Produkts Oracle Applications Framework (Oracle E-Business Suite) erlaubt einem Angreifer mit niedrigen Rechten über das Netzwerk die Kompromittierung des Produkts. Betroffen sind die Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

In PowerJob 5.1.0, 5.1.1 und 5.1.2 ist die Funktion GroovyEvaluator.evaluate der Datei /openApi/addWorkflowNode im OpenAPI-Endpunkt betroffen. Eine Manipulation der Eingaben ermöglicht einen aus der Ferne durchführbaren Angriff ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren und den OpenAPI-Endpunkt nicht offen erreichbar machen.

Das WordPress-Plugin Account Switcher ist in allen Versionen bis einschliesslich 1.0.2 für eine Privilegienausweitung anfällig. Ursache ist der REST-API-Endpunkt rememberLogin, der einen unsicheren, lockeren Vergleich (loose comparison) verwendet und dadurch eine unberechtigte Anmeldung ermöglicht. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: das Plugin auf eine Version oberhalb 1.0.2 aktualisieren.

Sylius Mollie Plugin bindet die Zahlungsabwicklung von Mollie in Sylius-Anwendungen ein. Vor den Versionen 2.2.8, 3.2.4 und 3.3.1 akzeptiert der Payment-Webhook-Endpunkt POST /{_locale}/update-payment nicht vertrauenswürdige Eingaben; die genauen Auswirkungen sind in den Quelldaten nicht vollständig belegt. CVSS-Basiswert: 7.5 (Hoch).

Im i915-GPU-Kerneltreiber des Linux-Kernels wurde ein fehlerhafter, zufälliger Speicherzugriff festgestellt, über den ein lokaler Benutzer mittels manipuliertem Code auf der GPU das System zum Absturz bringen kann. CVSS-Basiswert: 7.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffen sind laut Zuordnung die überwachten Produktbereiche SAP, SuccessFactors (SAP), Zoho und Scale Computing.

Eine Schwachstelle im Produkt Oracle Identity Manager Connector von Oracle Fusion Middleware betrifft die Komponente PeopleSoft Applications. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. Die Lücke ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: die von Oracle im Critical Patch Update bereitgestellten Aktualisierungen einspielen.

Im Produkt Oracle Hospitality Simphony von Oracle Food and Beverage Applications (Komponente POS) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind gemäss Quelle die Versionen 19.8 bis 19.8.5, 19.9 bis 19.9.3 sowie 19.10. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit Auswirkung auf die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

justhtml vor Version 1.18.0 enthält laut Quelle mehrere als niedrig eingestufte Denial-of-Service-Probleme bei der Verarbeitung von CSS-Selektoren und bei der Linkifizierung. Betroffen sind Anwendungen, die von Angreifern kontrollierte Selektor-Strings auswerten, etwa über query(). CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung oder eine EPSS-Einschätzung liegen aus den Quelldaten nicht vor.

In TinyAGI 0.0.20 wurde eine Sicherheitslücke in der Funktion processMessage der Datei packages/main/src/index.ts der Komponente Message API Endpoint identifiziert. Eine gezielte Manipulation ermöglicht deren Ausnutzung. CVSS-Basiswert: 7.3 (Hoch). Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L) beschreibt eine über das Netzwerk ohne Vorkenntnisse oder Nutzerinteraktion ausnutzbare Schwachstelle mit begrenzten Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Quark Drive vor Version 0.8.5 enthält eine Mass-Assignment-Schwachstelle im Endpunkt POST /update, über die authentifizierte Angreifer Administrator-Zugangsdaten überschreiben können. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Quark Drive 0.8.5 oder neuer aktualisieren.

Laut NVD enthält die Software vor Commit bf325f6 eine fehlende Autorisierungsprüfung, durch die authentifizierte Nutzer ohne Administratorrechte die serverweite Konfiguration des Embedding-Backends über einen entsprechenden Verwaltungs-Endpunkt verändern können. Damit lassen sich Einstellungen manipulieren, die eigentlich nur Administratoren vorbehalten sein sollten. CVSS-Basiswert: 8.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Pterodactyl ist ein quelloffenes Verwaltungspanel für Gameserver. Laut NVD akzeptierte vor Panel-Version 1.12.3 und Wings-Version 1.12.2 der Wings-Endpunkt /upload/file jedes gültige, vom Panel signierte JWT. CVSS-Basiswert: 8.1 (Hoch). Ein EPSS-Wert liegt für diesen Eintrag nicht vor.

Heym vor Version 0.0.21 enthält eine Path-Traversal-Schwachstelle im Datei-Upload-Endpunkt, die es authentifizierten Nutzern erlaubt, mittels eines präparierten Pfads angreiferkontrollierte Dateien an beliebigen Orten zu schreiben. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Produkt Oracle Hospitality Simphony der Oracle Food and Beverage Applications (Komponente POS) besteht eine Schwachstelle. Betroffen sind die Versionen 19.8 bis 19.8.5, 19.9 bis 19.9.3 sowie 19.10. Die Lücke ist laut Quelle nur schwer ausnutzbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung gemäss Oracle-Advisory.

Im ARN-Resolver von amazon-mq rabbitmq-aws vor Version 0.2.1 existiert aktiver Debug-Code: Ein Debug-ARN-Schema (arn:aws-debug:file) wird vom Validierungs-Endpunkt PUT /api/aws/arn/validate akzeptiert. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Eine Schwachstelle im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente: Siebel Cloud Manager) betrifft die unterstützten Versionen 22.3 bis 26.5. Die Schwachstelle gilt als leicht ausnutzbar. CVSS-Basiswert: 7.7 (Hoch).

9Router enthält in Versionen vor 0.4.72 eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im Endpunkt /v1/web/fetch. Der Endpunkt nimmt einen vom Benutzer kontrollierten Parameter url entgegen und leitet ihn an einen konfigurierten externen Dienst weiter, wodurch ein Angreifer serverseitige Anfragen an von ihm gewählte Ziele auslösen kann. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.4.72 oder neuer.

Im Produkt Oracle Banking Trade Finance der Oracle Financial Services Applications (Komponente Infrastructure) besteht eine Schwachstelle. Betroffen sind die Versionen 14.6.0 bis 14.8.0. Die Lücke ist laut Quelle leicht und mit niedrigen Rechten über das Netzwerk ausnutzbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung gemäss Oracle-Advisory.

In Oracle Banking Trade Finance (Oracle Financial Services Applications) besteht eine Schwachstelle in der Komponente Infrastructure. Betroffen sind die unterstützten Versionen 14.6.0 bis 14.8.0. Die Lücke ist laut Quelle einfach ausnutzbar. CVSS-Basiswert: 8.1 (Hoch).

In ClipBucket v5 (Version 5.5.2) erlaubt eine Schwachstelle die Ausführung von beliebigem Code über die Authentifizierungsschnittstelle, den Login-Endpunkt und die Komponenten für HTTP-Response-Sicherheits-Header. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: betroffene Installationen gemäss Hersteller-Advisory aktualisieren.

Eine Information-Disclosure-Schwachstelle im Endpunkt /api/v1/user/info von AgentChat v2.3.0 erlaubt es nicht authentifizierten Angreifern, sensible Informationen einschliesslich SHA256-Passwort-Hashes abzurufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Standardkonfiguration betroffener Versionen von ANDRITZ HIPASE-250 (früher 250 SCALA) sind der Daten- und der Konfigurationsendpunkt ohne jegliche Authentifizierung erreichbar; zusätzlich liefert jede Antwort ein permissives CORS-Header-Setting aus. Dadurch können nicht authentifizierte Angreifer im Netzwerk auf Konfigurationsdaten zugreifen und über Cross-Origin-Anfragen weitere Angriffe vorbereiten. CVSS-Basiswert: 7.5 (Hoch).

Das WordPress-Plugin SUMO Reward Points ist bis einschliesslich Version 32.7.0 anfällig für unauthentifiziertes Stored Cross-Site-Scripting über den REST-API-Endpunkt /wp-json/wc-srp/v1/earning. Nicht authentifizierte Angreifer können darüber persistente Skripte einschleusen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: das Plugin auf eine Version nach 32.7.0 aktualisieren, sobald verfügbar.

Das WordPress-Plugin Passster prüft vor Version 4.3.6 laut NVD den Post-Status nicht, bevor es Beitragsinhalte über einen nicht authentifizierten REST-Endpunkt zurückgibt. Dadurch können nicht authentifizierte Benutzer auf eigentlich geschützte Beitragsinhalte zugreifen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin GiveWP schränkt laut NVD vor Version 4.16.3 den Zugriff auf einen REST-API-Endpunkt, der wiederkehrende Spendendatensätze zurückgibt, nicht ausreichend ein. Dadurch können nicht authentifizierte Nutzer Informationen daraus abrufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der Endpunkt POST /api/v1/convert/url/pdf von Stirling-PDF (ConvertWebsiteToPDF.java) wurde laut NVD nicht mit den SSRF-Schutzmassnahmen CustomHtmlSanitizer/SsrfProtectionService nachgerüstet, die in verwandten Controllern der Anwendung bereits vorhanden sind. Dadurch besteht ein Server-Side-Request-Forgery-Risiko über diesen Endpunkt. CVSS-Basiswert: 8.6 (Hoch). In den vorliegenden Quelldaten ist keine Ausnutzungswahrscheinlichkeit (EPSS) angegeben.