Zoho ManageEngine Seite 6

In Keycloak wurde ein Fehler festgestellt, bei dem in einem Redirect enthaltene URLs nicht korrekt validiert werden. Dies kann einem Angreifer erlauben, eine bösartige Anfrage zu konstruieren, um die Validierung zu umgehen und auf andere URLs sowie sensible Informationen innerhalb der Domain zuzugreifen oder weitere Angriffe durchzuführen. Die Schwachstelle betrifft jeden Client, der ein Wildcard im Feld „Valid Redirect URIs“ verwendet, und erfordert eine Nutzerinteraktion mit der bösartigen URL. CVSS-Basiswert: 8.1 (Hoch).

Das WordPress-Plugin AudioIgniter ist bis einschliesslich Version 2.0.2 für eine Insecure Direct Object Reference anfällig; ursächlich ist die Funktion handle_playlist_endpoint(). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %. Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

AVideo bis einschliesslich Version 29.0 enthält laut NVD eine OS-Command-Injection-Schwachstelle im Endpunkt ffmpeg.json.php. Die Parameter notifyCode und callback werden ohne Maskierung in einen Shell-Befehl eingesetzt, sodass ein Angreifer beliebige Betriebssystembefehle einschleusen kann. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %.

In HexStrike AI (0x4m4) bis zum Commit d689933ff579d839c676c82b231f8e98326c5f04 besteht laut NVD eine Schwachstelle in einer nicht näher benannten Funktion der Datei hexstrike_server.py der Komponente Execute Endpoint. Weitere technische Details liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.3 (Hoch).

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 16.0.0 bis 16.2.10 können laut NVD präparierte Anfragen gegen Next.js-Anwendungen, die den App Router mit Turbopack nutzen, eine Schwachstelle auslösen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Im Remote Desktop Client ermöglicht ein Heap-basierter Pufferüberlauf einem nicht autorisierten Angreifer die Ausweitung von Rechten über das Netzwerk. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Ein Use-after-free im Remote Desktop Client von Microsoft Windows erlaubt einem nicht autorisierten Angreifer die Ausführung von Code über ein Netzwerk. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

NivoCart enthält bis Version 2.4.0 im multi()-Endpoint des File Managers eine Schwachstelle für beliebige Datei-Uploads: Dateierweiterungen neuer Dateinamen werden nicht validiert, auch bei mehrteiligen (chunked) Uploads. CVSS-Basiswert: 8.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Laut Zuordnung betrifft die Lücke auch das überwachte Produkt ManageEngine von Zoho.

In Keycloak besteht laut Quelldaten ein Fehler in der Validierungslogik der redirect_uri, der eine Umgehung ansonsten explizit erlaubter Hosts ermöglichen kann. Ein erfolgreicher Angriff kann zum Diebstahl eines Access Tokens führen, wodurch ein Angreifer andere Benutzer imitieren kann. CVSS-Basiswert: 7.1 (Hoch).

Im Remote Desktop Client ermöglicht eine Use-after-free-Schwachstelle einem nicht autorisierten Angreifer, über das Netzwerk beliebigen Code auszuführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Documenso akzeptiert vor Version 2.13.0 am Endpunkt /api/files/upload-pdf PDF-Datei-Uploads, ohne Authentifizierung, Session-Token oder API-Credentials zu verlangen. Nicht authentifizierte Angreifer können darüber laut Quelldaten beliebige Dateien hochladen. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

NitroShare Desktop enthält bis einschliesslich Version 0.3.4 eine Path-Traversal-Schwachstelle im Dateitransfer-Server für das lokale Netzwerk. Nicht authentifizierte Angreifer im selben Netzwerk können dadurch beliebige Dateien ausserhalb des vorgesehenen Zielverzeichnisses schreiben. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

In den Remote Desktop Services von Microsoft Windows besteht eine Use-after-free-Schwachstelle. Ein authentifizierter Angreifer kann sie über das Netzwerk zur Rechteausweitung nutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: verfügbare Microsoft-Sicherheitsupdates einspielen.

Microsoft Defender for Endpoint Protection weist eine Schwachstelle auf, über die sich Angreifer erhöhte Rechte verschaffen können. CVSS-Basiswert: 7.8 (Hoch).

Ein Use-after-free-Fehler im Remote Desktop Client erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. CVSS-Basiswert: 8.8 (Hoch). Der CVSS-Vektor weist auf einen netzbasierten Angriffsweg mit erforderlicher Benutzerinteraktion hin. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

Im Endpunkt /read-document des Feast Feature Server wurde ein Sicherheitsproblem entdeckt, das einem nicht authentifizierten, entfernten Angreifer erlaubt, jede für den Serverprozess zugängliche Datei zu lesen. Dies gelingt durch das Senden einer präparierten Anfrage. Betroffen ist die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Ein nicht authentifizierter Angreifer aus dem Netzwerk kann laut Quellbeschreibung die Zugriffskontrolle des PCP-Dienstes (Performance Co-Pilot) pmproxy über den /store-Endpunkt umgehen, indem er präparierte Anfragen sendet. Dies erlaubt dem Angreifer, beliebige PMDA-Metriken zu überschreiben. CVSS-Basiswert: 7.3 (Hoch).

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen von 7.3.0-BETA1 bis 7.4.12 sowie 8.0.12 kompiliert die JsonPath-Komponente durch Angreifer kontrollierte match()-Ausdrücke. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

OpenBullet2 enthält bis einschliesslich Version 0.3.2 eine Pfadtraversal-Schwachstelle im Wordlist-Endpoint. Authentifizierte Angreifer können dadurch beliebige Dateien lesen, schreiben und löschen, indem sie den Pfad entsprechend manipulieren. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine gepatchte Version aktualisieren, sobald verfügbar.

In der NTLM-Authentifizierung der HTTP-Bibliothek libsoup, die von GNOME und weiteren Anwendungen für die Netzwerkkommunikation genutzt wird, wurde eine Schwachstelle festgestellt. Bei der Verarbeitung extrem langer Passwörter tritt ein Integer-Fehler auf. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Windows RDP werden private persönliche Informationen gegenüber einem unberechtigten Akteur offengelegt. Ein nicht berechtigter Angreifer kann diese Informationen über das Netzwerk auslesen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Das WordPress-Plugin ShopLentor ist bis einschliesslich Version 3.3.7 über den REST-API-Endpunkt woolentoropt/v1/custom-action anfällig für die Ausführung beliebiger Funktionen. CVSS-Basiswert: 7.2 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 13.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 können präparierte Anfragen gegen Next.js-Anwendungen, die den App Router nutzen, gezielt ausgenutzt werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

In Microweber bis Version 2.0.20 besteht eine Schwäche in der Funktion userfiles_path der Datei /api_nosession/thumbnail_img der Komponente API-Endpunkt. Eine Manipulation ermöglicht einen Angriff. Der Angriff ist laut CVSS-Vektor ohne Authentifizierung und ohne Nutzerinteraktion aus dem Netzwerk möglich. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In DbGate bis einschliesslich Version 7.1.8 nimmt der Endpunkt POST /runners/load-reader einen functionName-Parameter entgegen, der direkt in einen JavaScript-Ausdruck interpoliert wird. Daraus ergibt sich eine Möglichkeit zur Code-Ausführung. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Betroffen ist im Feed der überwachte Produktbereich Zoho. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren und den Zugriff auf die Anwendung einschränken.

In stoatchat vor Version 0.15.0 werden die viewBox-Dimensionen von SVG-Dateien im Proxy-Endpunkt nicht validiert. Dies ermöglicht Denial of Service durch Speichererschöpfung. Laut Quelle können Angreifer dazu bösartige SVG-Dateien hosten; die Beschreibung bricht an dieser Stelle ab („…with extre…“). CVSS-Basiswert: 7.5 (Hoch).

Zohocorp ManageEngine ADSelfService Plus in Versionen vor 6524 ist anfällig für eine Umgehung der Multi-Faktor-Authentifizierung. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 6524 oder neuer.

Das Grav API Plugin (Composer-Paket getgrav/grav-plugin-api) vor Version 1.0.10 validiert das Slug-Feld im Endpoint POST /pages/{route}/move nicht korrekt. PagesController::move() bereinigt den Slug unzureichend. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: auf Version 1.0.10 aktualisieren.

In der Tenda CX12L 16.03.53.12 wurde eine Schwachstelle in der Funktion setSchedWifi der Datei /goform/openSchedWifi entdeckt, die zum Komponentenbereich der Wi-Fi-Schedule-Konfiguration gehört. Eine Manipulation über diesen Endpunkt kann die Sicherheit des Geräts beeinträchtigen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: bereitgestellte Hersteller-Updates einspielen und den Zugriff auf die Verwaltungsschnittstelle einschränken.

JimuReport bis Version 2.5.0 stellt den Endpoint POST /jmreport/auto/export ohne Authentifizierung bereit: Der Handler ist mit @JimuNoLoginRequired annotiert, wodurch der JimuReportTokenInterceptor jegliche Authentifizierungsprüfung überspringt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Plugin Funnel Builder for WooCommerce Checkout enthält vor Version 3.15.0.3 eine Schwachstelle durch fehlende Autorisierung im öffentlichen Checkout-Endpunkt. Nicht authentifizierte Angreifer können dadurch interne Methoden aufrufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf Version 3.15.0.3 oder neuer.

NoteGen vor Version 0.32.0 gewährt dem Tauri-Shell-Plugin in den Standard-Desktop-Capabilities die Berechtigung shell:allow-execute für bash, python und python3 mit beliebigen Argumenten. JavaScript-Code, der in der Anwendung ausgeführt wird, kann über diese Freigabe entsprechende Shell-Befehle mit frei wählbaren Argumenten starten. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: auf NoteGen 0.32.0 oder höher aktualisieren.

Im Bestandteil Internal Operations des Produkts Oracle Applications DBA (Oracle E-Business Suite) besteht eine Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.3 bis 12.2.15. Der Angriff ist über das Netzwerk leicht durchführbar, setzt jedoch hohe Privilegien voraus; bei erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit betroffen. CVSS-Basiswert: 7.2 (Hoch).

In Progress Telerik UI for AJAX vor Version 2026.2.708 deserialisieren Anwendungen, die den cookie-basierten Speicher in RadPersistenceManager oder RadDockLayout nutzen, von Angreifern kontrollierte Cookie-Inhalte. Dadurch wird laut Quellbeschreibung eine unautorisierte Ausnutzung ermöglicht. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf eine gepatchte Version aktualisieren.

In den Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente Siebel Cloud Manager) besteht eine Schwachstelle. Laut Quelle sind die unterstützten Versionen 22.3-26.5 betroffen; die Schwachstelle wird als leicht ausnutzbar beschrieben. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk, mit geringer Komplexität, ohne Rechte und ohne Nutzerinteraktion und gefährdet die Verfügbarkeit. Ein fehlerbereinigter Stand sollte gemäss Herstellerangaben eingespielt werden.

In gnome-remote-desktop, wie es in Red Hat Enterprise Linux ausgeliefert wird, umgeht der Verbindungs-Handler des Daemons im System-Modus mit aktiviertem RDP die vorgesehene Verbindungsprüfung bei eingehenden Verbindungen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In der Open-Source-Plattform Pimcore stellt der WebDAV-Asset-Endpunkt über den Pfad /asset/webdav{path} eine MOVE-Operation bereit, die ohne die erforderliche Authentifizierung erreichbar ist. Betroffen sind Versionen vor 11.5.17 (LTS) und 12.3.7. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: auf eine der bereinigten Versionen (11.5.17 LTS bzw. 12.3.7) aktualisieren.

LangBot generiert vor Version 4.10.11 Schlüssel zur Passwort-Wiederherstellung mit nur 24 Bit Entropie und wendet auf den nicht authentifizierten Reset-Passwort-Endpunkt kein Rate-Limiting an. Laut Quelle können entfernte Angreifer, die die administrative Kennung kennen, dies ausnutzen. CVSS-Basiswert: 8.1 (Hoch). Der Vektor (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H) beschreibt eine remote ausnutzbare Lücke mit vollem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit.

In NivoCart bis Version 2.4.0 werden Passwort-Reset-Tokens im Endpoint forgotten.php über substr(md5(mt_rand()), 0, 10) erzeugt und sind dadurch vorhersagbar. Angreifer, die weitere Randbedingungen kennen, können daraus gültige Recovery-Codes ableiten. CVSS-Basiswert: 8.1 (Hoch).

Nuxt ist ein quelloffenes Web-Entwicklungsframework für Vue.js. Laut NVD dekodiert und hasht der interne Island-Renderer-Endpunkt /__nuxt_island/... in den Versionen 3.1.0 bis 3.21.10 sowie 4.5.1 angreiferkontrollierte JSON-Daten. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Open Notebook (Versionen vor 1.11.0) besteht laut NVD eine Schwachstelle: Der URL-Parameter des Endpoints POST /api/sources wird nicht validiert, wodurch authentifizierte Nutzer Server-Side-Request-Forgery-Zugriffe auf interne Dienste durchführen können. CVSS-Basiswert: 7.7 (Hoch).

In Eclipse Theia 1.66.0 bis einschliesslich 1.73.1 legt das Backend-Modul @theia/plugin-ext den HTTP-Endpoint /hostedPlugin/:pluginId/:path(*) offen, der den angeforderten Dateipfad auflöst. CVSS-Basiswert: 7.5 (Hoch).

In assafelovic gpt-researcher bis Version 3.4.3 besteht eine Schwachstelle in einer unbekannten Funktion der Komponente HTTP-REST-API-Endpoint. Durch Manipulation lässt sich eine fehlende Authentifizierung ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Keycloak wurde ein Fehler gefunden, durch den ein entfernter Angreifer Sicherheitskontrollen umgehen kann, indem er eine gültige SAML-Antwort eines externen Identity Providers (IdP) an den SAML-Endpunkt von Keycloak für den IdP-initiierten Anmeldeprozess sendet. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Gerapy bis einschliesslich Version 0.9.13 besteht eine Schwachstelle in einer unbekannten Funktion der Datei gerapy/server/core/views.py, die zur Komponente Project Upload Endpoint gehört. Durch Manipulation dieses Endpunkts lässt sich die Schwachstelle laut Quelle über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch).

Eine Schwachstelle betrifft das Produkt Oracle Applications DBA der Oracle E-Business Suite, konkret die Komponente ADPatch. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Es handelt sich um eine leicht ausnutzbare Schwachstelle. CVSS-Basiswert: 8.8 (Hoch).

In Oracle Hospitality Simphony, einem Produkt der Oracle Food and Beverage Applications (Komponente POS), besteht eine Schwachstelle. Laut Quelle sind die unterstützten Versionen 19.8-19.8.5, 19.9-19.9.3 und 19.10 betroffen. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk, mit geringer Komplexität, ohne Rechte und ohne Nutzerinteraktion und gefährdet die Vertraulichkeit. Ein fehlerbereinigter Stand sollte gemäss Herstellerangaben eingespielt werden.

In newpanjing SimpleUI 2026.01.13 betrifft eine Schwachstelle die Funktion self.get_action der Datei simpleui/admin.py in der Komponente AjaxAdmin AJAX Endpoint. Eine Manipulation über diesen Endpunkt ermöglicht einen Angriff aus dem Netzwerk ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch).

CTI-Transmute weist laut NVD und ENISA EUVD eine Schwachstelle durch unkontrollierten Ressourcenverbrauch auf. Betroffen ist der nicht authentifizierte Endpoint /activity_timeline, der einen vom Anfragenden frei wählbaren Parameter days entgegennimmt, ohne diesen ausreichend zu begrenzen. Weitere Details zur genauen Auswirkung liegen in den Quelldaten nicht vor, da die Beschreibung dort abbricht. CVSS-Basiswert: 8.7 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht eine fehlerhafte Zugriffskontrolle einem remote authentifizierten Angreifer, administrativen Zugriff zu erlangen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.