Zoho ManageEngine Seite 7

Im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente Siebel Cloud Manager) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind gemäss Quelle die Versionen 22.3 bis 26.5. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit Auswirkung auf die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Trilium Notes ist eine plattformübergreifende, hierarchische Anwendung zum Aufbau grosser persoenlicher Wissensdatenbanken. In den Versionen 0.102.1 und aelter besteht eine Schwachstelle in der Clipper-API von Trilium Desktop. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb 0.102.1.

In TinyAGI 0.0.20 wurde in der Funktion collectFiles der Datei packages/core/src/response.ts (Komponente Message API Endpoint) eine Schwachstelle identifiziert. Laut Quelle führt eine Manipulation dieser Funktion zu einer Sicherheitsauswirkung; die Beschreibung liegt nur unvollständig vor. CVSS-Basiswert: 7.3 (Hoch).

Eine leicht ausnutzbare Schwachstelle in der Komponente Search Bean des Produkts Oracle Applications Framework (Oracle E-Business Suite) erlaubt einem Angreifer mit niedrigen Rechten über das Netzwerk die Kompromittierung des Produkts. Betroffen sind die Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

In PowerJob 5.1.0, 5.1.1 und 5.1.2 ist die Funktion GroovyEvaluator.evaluate der Datei /openApi/addWorkflowNode im OpenAPI-Endpunkt betroffen. Eine Manipulation der Eingaben ermöglicht einen aus der Ferne durchführbaren Angriff ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren und den OpenAPI-Endpunkt nicht offen erreichbar machen.

Das WordPress-Plugin Account Switcher ist in allen Versionen bis einschliesslich 1.0.2 für eine Privilegienausweitung anfällig. Ursache ist der REST-API-Endpunkt rememberLogin, der einen unsicheren, lockeren Vergleich (loose comparison) verwendet und dadurch eine unberechtigte Anmeldung ermöglicht. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: das Plugin auf eine Version oberhalb 1.0.2 aktualisieren.

Sylius Mollie Plugin bindet die Zahlungsabwicklung von Mollie in Sylius-Anwendungen ein. Vor den Versionen 2.2.8, 3.2.4 und 3.3.1 akzeptiert der Payment-Webhook-Endpunkt POST /{_locale}/update-payment nicht vertrauenswürdige Eingaben; die genauen Auswirkungen sind in den Quelldaten nicht vollständig belegt. CVSS-Basiswert: 7.5 (Hoch).

Im i915-GPU-Kerneltreiber des Linux-Kernels wurde ein fehlerhafter, zufälliger Speicherzugriff festgestellt, über den ein lokaler Benutzer mittels manipuliertem Code auf der GPU das System zum Absturz bringen kann. CVSS-Basiswert: 7.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffen sind laut Zuordnung die überwachten Produktbereiche SAP, SuccessFactors (SAP), Zoho und Scale Computing.

Eine Schwachstelle im Produkt Oracle Identity Manager Connector von Oracle Fusion Middleware betrifft die Komponente PeopleSoft Applications. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. Die Lücke ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: die von Oracle im Critical Patch Update bereitgestellten Aktualisierungen einspielen.

Im Produkt Oracle Hospitality Simphony von Oracle Food and Beverage Applications (Komponente POS) besteht laut NVD eine leicht ausnutzbare Schwachstelle. Betroffen sind gemäss Quelle die Versionen 19.8 bis 19.8.5, 19.9 bis 19.9.3 sowie 19.10. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit Auswirkung auf die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

justhtml vor Version 1.18.0 enthält laut Quelle mehrere als niedrig eingestufte Denial-of-Service-Probleme bei der Verarbeitung von CSS-Selektoren und bei der Linkifizierung. Betroffen sind Anwendungen, die von Angreifern kontrollierte Selektor-Strings auswerten, etwa über query(). CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung oder eine EPSS-Einschätzung liegen aus den Quelldaten nicht vor.

In TinyAGI 0.0.20 wurde eine Sicherheitslücke in der Funktion processMessage der Datei packages/main/src/index.ts der Komponente Message API Endpoint identifiziert. Eine gezielte Manipulation ermöglicht deren Ausnutzung. CVSS-Basiswert: 7.3 (Hoch). Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L) beschreibt eine über das Netzwerk ohne Vorkenntnisse oder Nutzerinteraktion ausnutzbare Schwachstelle mit begrenzten Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Quark Drive vor Version 0.8.5 enthält eine Mass-Assignment-Schwachstelle im Endpunkt POST /update, über die authentifizierte Angreifer Administrator-Zugangsdaten überschreiben können. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Quark Drive 0.8.5 oder neuer aktualisieren.

Laut NVD enthält die Software vor Commit bf325f6 eine fehlende Autorisierungsprüfung, durch die authentifizierte Nutzer ohne Administratorrechte die serverweite Konfiguration des Embedding-Backends über einen entsprechenden Verwaltungs-Endpunkt verändern können. Damit lassen sich Einstellungen manipulieren, die eigentlich nur Administratoren vorbehalten sein sollten. CVSS-Basiswert: 8.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Pterodactyl ist ein quelloffenes Verwaltungspanel für Gameserver. Laut NVD akzeptierte vor Panel-Version 1.12.3 und Wings-Version 1.12.2 der Wings-Endpunkt /upload/file jedes gültige, vom Panel signierte JWT. CVSS-Basiswert: 8.1 (Hoch). Ein EPSS-Wert liegt für diesen Eintrag nicht vor.

Heym vor Version 0.0.21 enthält eine Path-Traversal-Schwachstelle im Datei-Upload-Endpunkt, die es authentifizierten Nutzern erlaubt, mittels eines präparierten Pfads angreiferkontrollierte Dateien an beliebigen Orten zu schreiben. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In better-auth-Passkey-Versionen vor 1.4.0 besteht eine Schwachstelle durch eine unsichere direkte Objektreferenz (Insecure Direct Object Reference) im Passkey-Löschendpunkt. Authentifizierte Angreifer können dadurch beliebige Passkeys anhand ihrer ID löschen, auch wenn diese ihnen nicht gehören. CVSS-Basiswert: 7.1 (Hoch).

Im Produkt Oracle Hospitality Simphony der Oracle Food and Beverage Applications (Komponente POS) besteht eine Schwachstelle. Betroffen sind die Versionen 19.8 bis 19.8.5, 19.9 bis 19.9.3 sowie 19.10. Die Lücke ist laut Quelle nur schwer ausnutzbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung gemäss Oracle-Advisory.

Im ARN-Resolver von amazon-mq rabbitmq-aws vor Version 0.2.1 existiert aktiver Debug-Code: Ein Debug-ARN-Schema (arn:aws-debug:file) wird vom Validierungs-Endpunkt PUT /api/aws/arn/validate akzeptiert. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Eine Schwachstelle im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente: Siebel Cloud Manager) betrifft die unterstützten Versionen 22.3 bis 26.5. Die Schwachstelle gilt als leicht ausnutzbar. CVSS-Basiswert: 7.7 (Hoch).

Ein Endpoint des iDirect-iQ200-VSAT-Terminals gibt laut NVD die vollständige Gerätekonfiguration als JSON zurück, einschliesslich des SECURITY-Abschnitts mit MD5-crypt-Passwort-Hashes für das root-SSH- und das Web-Admin-Konto. CVSS-Basiswert: 8.1 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

9Router enthält in Versionen vor 0.4.72 eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im Endpunkt /v1/web/fetch. Der Endpunkt nimmt einen vom Benutzer kontrollierten Parameter url entgegen und leitet ihn an einen konfigurierten externen Dienst weiter, wodurch ein Angreifer serverseitige Anfragen an von ihm gewählte Ziele auslösen kann. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.4.72 oder neuer.

OpenEMR erlaubt bis Version 8.2.0 laut NVD aufgrund einer unsachgemässen Authentifizierung am OAuth2-Dynamic-Client-Registration-Endpunkt nicht authentifizierten Angreifern, einen bösartigen Client zu registrieren; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.1 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Produkt Oracle Banking Trade Finance der Oracle Financial Services Applications (Komponente Infrastructure) besteht eine Schwachstelle. Betroffen sind die Versionen 14.6.0 bis 14.8.0. Die Lücke ist laut Quelle leicht und mit niedrigen Rechten über das Netzwerk ausnutzbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung gemäss Oracle-Advisory.

In Oracle Banking Trade Finance (Oracle Financial Services Applications) besteht eine Schwachstelle in der Komponente Infrastructure. Betroffen sind die unterstützten Versionen 14.6.0 bis 14.8.0. Die Lücke ist laut Quelle einfach ausnutzbar. CVSS-Basiswert: 8.1 (Hoch).

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.10, 41.10.3 und 42.0.1 konnte laut NVD ein sandboxed iframe ohne das Schlüsselwort allow-popups eine Umgehung ermöglichen; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen in den übergebenen Daten nicht vor. CVSS-Basiswert: 7.2 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Zoho führt die Lücke in seinen Advisories.

In ClipBucket v5 (Version 5.5.2) erlaubt eine Schwachstelle die Ausführung von beliebigem Code über die Authentifizierungsschnittstelle, den Login-Endpunkt und die Komponenten für HTTP-Response-Sicherheits-Header. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: betroffene Installationen gemäss Hersteller-Advisory aktualisieren.

Eine Information-Disclosure-Schwachstelle im Endpunkt /api/v1/user/info von AgentChat v2.3.0 erlaubt es nicht authentifizierten Angreifern, sensible Informationen einschliesslich SHA256-Passwort-Hashes abzurufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Standardkonfiguration betroffener Versionen von ANDRITZ HIPASE-250 (früher 250 SCALA) sind der Daten- und der Konfigurationsendpunkt ohne jegliche Authentifizierung erreichbar; zusätzlich liefert jede Antwort ein permissives CORS-Header-Setting aus. Dadurch können nicht authentifizierte Angreifer im Netzwerk auf Konfigurationsdaten zugreifen und über Cross-Origin-Anfragen weitere Angriffe vorbereiten. CVSS-Basiswert: 7.5 (Hoch).

Das WordPress-Plugin SUMO Reward Points ist bis einschliesslich Version 32.7.0 anfällig für unauthentifiziertes Stored Cross-Site-Scripting über den REST-API-Endpunkt /wp-json/wc-srp/v1/earning. Nicht authentifizierte Angreifer können darüber persistente Skripte einschleusen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: das Plugin auf eine Version nach 32.7.0 aktualisieren, sobald verfügbar.

Das WordPress-Plugin Passster prüft vor Version 4.3.6 laut NVD den Post-Status nicht, bevor es Beitragsinhalte über einen nicht authentifizierten REST-Endpunkt zurückgibt. Dadurch können nicht authentifizierte Benutzer auf eigentlich geschützte Beitragsinhalte zugreifen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin GiveWP schränkt laut NVD vor Version 4.16.3 den Zugriff auf einen REST-API-Endpunkt, der wiederkehrende Spendendatensätze zurückgibt, nicht ausreichend ein. Dadurch können nicht authentifizierte Nutzer Informationen daraus abrufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der Endpunkt POST /api/v1/convert/url/pdf von Stirling-PDF (ConvertWebsiteToPDF.java) wurde laut NVD nicht mit den SSRF-Schutzmassnahmen CustomHtmlSanitizer/SsrfProtectionService nachgerüstet, die in verwandten Controllern der Anwendung bereits vorhanden sind. Dadurch besteht ein Server-Side-Request-Forgery-Risiko über diesen Endpunkt. CVSS-Basiswert: 8.6 (Hoch). In den vorliegenden Quelldaten ist keine Ausnutzungswahrscheinlichkeit (EPSS) angegeben.

Der iDirect iQ200 validiert nach der Authentifizierung keine CSRF-Tokens auf zustandsändernden API-Endpunkten. Der Endpunkt /api/reboot akzeptiert POST-Anfragen, die ausschliesslich über ein Session-Cookie authentifiziert werden. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Ein Ransomware-Bezug ist nicht bekannt.

Ein heap-basierter Pufferüberlauf im Desktop Window Manager erlaubt laut NVD einem berechtigten Angreifer die lokale Ausweitung von Rechten. Laut CVSS-Vektor ist die Lücke lokal mit niedrigen Rechten ausnutzbar und wirkt sich hoch auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: verfügbare Hersteller-Sicherheitsupdates einspielen.

In assafelovic gpt-researcher bis Version 3.4.3 ist die Funktion extract_command_data der Datei backend/server/server_utils.py im ws-Endpunkt betroffen. Eine Manipulation der Eingaben ermöglicht einen aus der Ferne durchführbaren Angriff ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version oberhalb 3.4.3 aktualisieren.

FileBrowser Quantum ist ein quelloffener, selbst gehosteter Web-Dateimanager. Vor Version 1.4.3-beta akzeptiert der Endpunkt subtitlesHandler (GET /api/media/subtitles) zwei nutzerkontrollierte Query-Parameter. CVSS-Basiswert: 7.7 (Hoch).

In Keycloak wurde eine Schwachstelle gefunden: Der SAML-Broker-Endpunkt (Security Assertion Markup Language) validiert verschlüsselte Assertions nicht korrekt, wenn die gesamte SAML-Antwort nicht signiert ist. Ein Angreifer kann dies ausnutzen, um die Integrität der Authentifizierung zu untergraben. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Premium Packages – Sell Digital Products Securely ist über den Parameter code des REST-API-Endpunkts POST /wp-json/wpdmpp/v1/cart/coupon anfällig für SQL-Injection. CVSS-Basiswert: 7.5 (Hoch).

PasswordPusher vor Version 2.9.2 enthält im Endpoint POST /p/:token/access eine Brute-Force-Schwachstelle: Es fehlen ein routen-spezifisches Rate-Limiting sowie ein Lockout-Mechanismus pro Push, wodurch Angreifer, die einen Push-Token kennen, wiederholte Zugriffsversuche ohne Einschränkung durchführen können. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Produkt Oracle Retail EFTLink der Oracle Retail Applications (Komponente Core/Plugin) besteht eine Schwachstelle. Laut Quelle sind die unterstützten Versionen 21.0.0-25.0.0 betroffen; die Ausnutzung wird als schwierig beschrieben. Der CVSS-Basiswert liegt bei 7.4 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk, mit hoher Komplexität, ohne Rechte und ohne Nutzerinteraktion und gefährdet Vertraulichkeit und Integrität. Ein fehlerbereinigter Stand sollte gemäss Herstellerangaben eingespielt werden.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 enthält laut NVD eine Authentifizierungsumgehung im Composer-Endpoint des Model Context Protocol (MCP), wenn mcp_composer_enabled=true (Standardeinstellung) gesetzt ist und Projekte entsprechend konfiguriert sind; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen in den übergebenen Daten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Neben Langflow / DataStax führt auch Zoho die Lücke in seinen Advisories.

Eine Schwachstelle im Produkt Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente: Siebel Cloud Manager) betrifft die unterstützten Versionen 22.3 bis 26.5. Die Schwachstelle gilt als leicht ausnutzbar. CVSS-Basiswert: 7.5 (Hoch).

NextChat enthält in den Versionen 2.15.8 bis 2.16.1 eine unzureichende URL-Validierung im Proxy-Endpoint. Dadurch können Angreifer den auf dem Server hinterlegten OpenAI-API-Key auslesen. Der Header x-base-url ist an der Schwachstelle massgeblich beteiligt. CVSS-Basiswert: 7.5 (Hoch).

In ArcadeDB vor Version 26.7.2 wird das Cluster-Token im Endpunkt GET /api/v1/server nicht korrekt maskiert. Authentifizierte Nutzer können dadurch den Wert arcadedb.ha.clusterToken im Klartext auslesen. CVSS-Basiswert: 8.8 (Hoch).

In TencentCloudBase CloudBase-MCP bis Version 2.17.0 ist die Funktion openUrl der Datei mcp/src/interactive-server.ts im open-url-API-Endpunkt betroffen. Eine Manipulation der Eingaben ermöglicht einen aus der Ferne durchführbaren Angriff ohne vorherige Authentifizierung. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version oberhalb 2.17.0 aktualisieren.

Im PHP-Jabbers-Poll-Script wird vom Nutzer übergebene Eingabe am Endpunkt pjAdminPolls.controller.php nicht ordnungsgemäss bereinigt, wodurch eine SQL-Injection möglich ist. Laut Quelle kann ein authentifizierter Angreifer dadurch eigene SQL-Anweisungen einschleusen. CVSS-Basiswert: 8.6 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Eine unzureichende Eingabeprüfung in der Funktion SSH Elevate Shell von Devolutions Remote Desktop Manager 2026.2.7 erlaubt einem authentifizierten Benutzer mit Berechtigung zum Erstellen oder Ändern eines gemeinsam genutzten SSH-Eintrags, über einen präparierten alternativen Benutzernamen und Nutzerinteraktion mit der Elevate-Shell-Aktion beliebige Befehle auf einem entfernten SSH-Host mit gespeicherten Elevation-Zugangsdaten auszuführen. CVSS-Basiswert: 8.8 (Hoch).

Mem0 bis einschliesslich Version 0.2.8 enthält im selbst gehosteten Server-Bestandteil eine Schwachstelle durch fehlende Autorisierung: Der Endpunkt POST /configure verändert die globale LLM-Provider-Konfiguration ohne ausreichende Berechtigungsprüfung. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: den Fix aus Commit ae7f406 bzw. eine korrigierte Version einspielen.

Eine Schwachstelle im Produkt Oracle Identity Manager Connector von Oracle Fusion Middleware (Komponente: PeopleSoft Applications) betrifft die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 7.7 (Hoch).