Zoho ManageEngine Seite 8

LimeSurvey enthält bis einschliesslich Version 6.17.10 sowie 7.0.4 eine Server-Side-Request-Forgery-Schwachstelle im REST-API-Endpunkt für Umfrage-Templates. Authentifizierte Benutzer können den Server dazu bringen, beliebige Anfragen auszulösen. CVSS-Basiswert: 7.7 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren und ausgehende Verbindungen des Servers einschränken.

In PipeWire, einem Multimedia-Server, besteht laut NVD eine Schwachstelle, die es einem Angreifer ermöglicht, aus sandboxed Anwendungen wie Flatpak auszubrechen, indem die PulseAudio-Kompatibilitätsschicht von PipeWire ausgenutzt wird. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

NewsBlur vor Version 14.5.0 enthält laut NVD eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im add_url-Endpunkt, über die authentifizierte Benutzer beliebige Serveranfragen an interne Netzwerke auslösen können. CVSS-Basiswert: 8.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf NewsBlur 14.5.0 oder neuer aktualisieren.

In better-auth-Passkey-Versionen vor 1.4.0 besteht eine Schwachstelle durch eine unsichere direkte Objektreferenz (Insecure Direct Object Reference) im Passkey-Löschendpunkt. Authentifizierte Angreifer können dadurch beliebige Passkeys anhand ihrer ID löschen, auch wenn diese ihnen nicht gehören. CVSS-Basiswert: 7.1 (Hoch).

FOG ist eine quelloffene Suite zum Klonen, Imaging und zur Inventarverwaltung. Vor den Versionen 1.5.10.1832 und 1.6.0-beta.2313 besteht laut Quelle eine Schwachstelle im nicht authentifizierten Inventory-Service-Endpunkt (/service/inventory). Die Ausnutzung erfolgt laut Vektor über das Netzwerk mit niedrigen Rechten und erfordert Nutzerinteraktion; betroffen sind Vertraulichkeit und Integrität. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ein Update auf eine fehlerbereinigte Version sollte eingespielt werden.

Das Starten von Spring-Boot-Anwendungen in den Spring Tools bei aktiviertem Live-Information-Modus macht die laufende Anwendung laut Quelle anfällig für JMX-basierte Remote Code Execution. CVSS-Basiswert: 8.0 (Hoch).

WLEDs Endpunkt GET /json/cfg (registriert in wled00/wled_server.cpp) ruft laut NVD serveJson() auf, ohne die Settings-PIN zu prüfen – anders als der /edit-Endpunkt, der explizit correctPIN prüft. Dadurch werden laut Quellenbeschreibung Geräteinformationen offengelegt. CVSS-Basiswert: 8.2 (Hoch).

Eine Schwachstelle in der Komponente Mobile des Oracle Utilities Network Management System (Oracle Utilities Applications) betrifft laut Quelle die Versionen 2.5.0.1.0 bis 2.5.0.1.17 sowie die Reihe 2.5.0.2.x. Der CVSS-Vektor weist die Lücke als über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar aus, mit veränderten Sicherheitsgrenzen (Scope). CVSS-Basiswert: 7.2 (Hoch).

In Microsoft Defender besteht eine Time-of-Check-Time-of-Use-Race-Condition (TOCTOU). Ein bereits authentifizierter Angreifer kann dadurch lokal seine Rechte ausweiten. CVSS-Basiswert: 7.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im SAML-Broker-Bestandteil von Keycloak, der die Identitätsföderation und Benutzerauthentifizierung verwaltet, besteht laut NVD ein Fehler: Der IdP-initiierte Single-Sign-On-Endpunkt schlägt fehl; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 7.4 (Hoch).

Laut Quelle erlaubt eine unzureichende Eingabevalidierung in der Intel Endpoint Management Assistant (EMA) Software vor Version 1.14.5 eine Rechteausweitung. Unprivilegierte Software auf Ring-3-Ebene (Benutzeranwendungen) kann dadurch höhere Rechte erlangen. Der Angriff erfolgt aus einem angrenzenden Netzwerk ohne Vorrechte und ohne Benutzerinteraktion (AV:A/AC:L/PR:N/UI:N); eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Intel EMA 1.14.5 oder neuer.

Im Linux-Kernel wurde eine Schwachstelle im Treiber pci_endpoint_test behoben: In der Funktion pci_endpoint_test_ioctl() konnte ein Array-Underflow auftreten, der durch einen vorherigen Commit zur Doorbell-Unterstützung eingeführt worden war. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Das WordPress-Plugin Product Addons and Product Options With Custom Fields vor Version 1.6.15 schützt einen Datei-Upload-Endpunkt nicht und akzeptiert unauthentifiziert SVG-Dateien, die gespeichert und inline ausgeliefert werden. Dadurch lassen sich manipulierte Inhalte einschleusen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Plugin-Version 1.6.15 oder neuer aktualisieren.

Adobe Creative Cloud Desktop ist von einer Time-of-check-Time-of-use(TOCTOU)-Race-Condition betroffen, die im Kontext des aktuellen Benutzers zur Ausführung beliebigen Codes führen kann. CVSS-Basiswert: 7.8 (Hoch).

IBM Aspera Desktop App in den Versionen 1.0.5 bis 1.0.19 lädt beim Start DLL-Dateien auf eine Weise, die eine beliebige Codeausführung ermöglicht. CVSS-Basiswert: 7.3 (Hoch), Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H – der Angriff setzt lokalen Zugriff, geringe Rechte und eine Benutzerinteraktion voraus.

FlareSolverr vor Version 3.4.7 enthält eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im API-Endpunkt /v1. Ein entfernter Angreifer kann darüber an vertrauliche Informationen gelangen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung von FlareSolverr auf Version 3.4.7 oder neuer.

Im Linux-Kernel wurde in pci_endpoint_test eine Schwachstelle behoben: In pci_endpoint_test_remove() wurden die IRQs laut Quelle erst nach dem Entfernen des Geräts freigegeben statt davor. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

clash-verge-service-ipc verfügt vor Version 2.3.0 über einen welterreichbaren IPC-Endpunkt. Dies ermöglicht einem lokalen Angreifer eine Rechteausweitung. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Use-after-free-Schwachstelle im rpmsg-char-Treiber behoben. In rpmsg_chrdev_probe() wurde das neu allokierte eptdev am Standard-Endpunkt hinterlegt, wodurch auf dem Fehlerpfad des Probe-Vorgangs eine Nutzung nach dem Freigeben auftreten konnte. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: den Kernel auf eine Version mit dem bereitgestellten Fix aktualisieren.

Tautulli, ein Python-basiertes Überwachungs- und Tracking-Werkzeug für den Plex Media Server, stellt in Versionen vor 2.17.1 den zustandsändernden Administrator-Endpunkt configUpdate bereit, ohne dass die Route eine ausreichende Zugriffskontrolle erzwingt. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Tautulli 2.17.1 oder neuer aktualisieren.

Im kishan0725 Hospital Management System 4.0 besteht eine SQL-Injection-Schwachstelle im Endpunkt view-medhistory.php über den Parameter viewid. Angreifer können dadurch potenziell auf Datenbankinhalte zugreifen oder diese manipulieren. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die foreUP-Customer-REST-API weist eine Schwachstelle auf, durch die jeder authentifizierte Kunde mit niedrigen Rechten auf einen Endpunkt zugreifen kann, der Datensätze anderer Nutzer zurückliefert, ohne zu prüfen, ob der Aufrufer Eigentümer der Daten ist. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Im Produkt Oracle Applications Manager der Oracle E-Business Suite (Komponente: Command Line - RapidClone) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 8.4 (Hoch).

Im Remote Desktop Client ermöglicht eine Use-after-free-Schwachstelle einem nicht autorisierten Angreifer, über das Netzwerk beliebigen Code auszuführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die Joomla-Extension RO CSVI von rolandd.com prüft in ihren AJAX-Endpunkt-Handlern bis Version 9.11.0 nicht ausreichend gegen Cross-Site-Request-Forgery (CSRF). Dadurch können Angreifer über präparierte Anfragen Aktionen im Kontext eines angemeldeten Nutzers auslösen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Die Joomla-Erweiterung Events Booking vor Version 5.8.0 besass laut NVD einen Frontend-Endpunkt zum Datei-Upload, der keinen CSRF-Schutz aufwies. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Hirschmann Industrial HiVision in Version 08.1.03 (vor 08.1.04) sowie 08.2.00 enthält eine Schwachstelle bei der Ausführung benutzerkonfigurierter externer Anwendungen, über die ein lokaler Angreifer Code ausführen kann. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf Version 08.1.04 bzw. eine korrigierte Fassung.

Die Desktop-Anwendung GeoVision GV-IP Device Utility lädt eine oder mehrere dynamische Programmbibliotheken (DLLs) aus einem unsicheren Suchpfad. Dadurch kann ein lokaler Angreifer über eine untergeschobene DLL eigenen Code ausführen (DLL-Hijacking). CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Im Linux-Kernel wurde eine Use-after-free-Schwachstelle im Qualcomm-rmnet-Treiber behoben. In rmnet_dellink() wurde der Endpunkt aus der Hash-Tabelle entfernt, wodurch es zu einem Use-after-free am Endpunkt kommen konnte. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Distributor bereitgestellten Kernel-Aktualisierungen einspielen.

FileGator akzeptiert laut Quelle über den API-Endpunkt /chmoditems beliebige Unix-Berechtigungswerte und reicht diese ohne Validierung per octdec-Konvertierung direkt an die native PHP-Funktion chmod() weiter. Die Schwachstelle ist laut Vektor lokal mit niedrigen Rechten und ohne Nutzerinteraktion ausnutzbar und betrifft Vertraulichkeit und Integrität stark sowie die Verfügbarkeit in geringem Mass. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Ein fehlerbereinigter Stand sollte eingespielt werden.

In JP1/IT Desktop Management 2 – Manager, JP1/IT Desktop Management 2 – Operations Director sowie Job Management Partner 1/IT Desktop Management 2 unter Windows besteht eine Schwachstelle zur Ausführung von Remotecode (Remote Code Execution). CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

In Microsoft Defender for Linux wurde laut NVD eine unsachgemässe Kontrolle der Code-Generierung (Code Injection) festgestellt, die es einem nicht autorisierten Angreifer ermöglicht, Code über ein benachbartes Netzwerk auszuführen. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In BOSH ermöglicht eine unzureichende Verschlüsselung (CWE-326) einem lokalen Angreifer, Basic-Auth-Zugangsdaten zu stehlen oder UAA-Token-Anfragen per Man-in-the-Middle umzuleiten. Laut Quelldaten sind die Funktionen HttpRequestHelper#create_async_endpoint und #send_http_get_request_synchronous betroffen; die Quellbeschreibung bricht ab, bevor das genaue hartcodierte Verhalten benannt wird. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

IBM Aspera High-Speed Transfer Endpoint und IBM Aspera High-Speed Transfer Server sind in den Versionen 3.7.4 bis 4.4.7 Fix Pack 1 von einer Schwachstelle betroffen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

In Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht laut NVD eine fehlerhafte Zertifikatvalidierung einem nicht authentifizierten Angreifer aus der Ferne, registrierte Sentry-Hosts zu imitieren und gültige CA-signierte Zertifikate zu erlangen. Gemäss CVSS-Vektor reicht die Auswirkung über die verwundbare Komponente hinaus. CVSS-Basiswert: 8.9 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Ivanti EPMM 12.6.1.1, 12.7.0.1 bzw. 12.8.0.1 oder neuer aktualisieren.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.9, 40.9.2, 41.2.2 und 42.0.0-beta.5 besteht laut NVD eine Schwachstelle bei Apps, die Promise-liefernde Funktionen bereitstellen. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 7.5 (Hoch). Laut Zuordnung ist Zoho ManageEngine betroffen.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.10, 40.9.3, 41.4.0 und 42.0.0 besteht laut Quellenbeschreibung eine Schwachstelle bei einem benutzerdefinierten Schema, das mit supportFetchAPI registriert ist; die Beschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 7.4 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.10, 41.10.3 und 42.0.1 konnte laut NVD ein sandboxed iframe ohne das Schlüsselwort allow-popups eine Umgehung ermöglichen; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen in den übergebenen Daten nicht vor. CVSS-Basiswert: 7.2 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Zoho führt die Lücke in seinen Advisories.

OpenEMR erlaubt bis Version 8.2.0 laut NVD aufgrund einer unsachgemässen Authentifizierung am OAuth2-Dynamic-Client-Registration-Endpunkt nicht authentifizierten Angreifern, einen bösartigen Client zu registrieren; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.1 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der Software Julep besteht im Endpoint get_execution_details eine Schwachstelle durch unzureichende Zugriffskontrolle (Insecure Direct Object Reference). Authentifizierte Mandanten können dadurch laut Quelle auf Ausführungsdaten anderer Mandanten zugreifen. CVSS-Basiswert: 8.1 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N – ein Angreifer benötigt niedrige Rechte, aber keine Benutzerinteraktion.

Der ArkSigner Desktop Client von ArkSigner Software and Hardware Industry and Trade Inc. weist laut NVD eine Schwachstelle durch ein unkontrolliertes Suchpfad-Element (Uncontrolled Search Path Element) auf, die Search Order Hijacking ermöglicht. CVSS-Basiswert: 7.3 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt aus den Quelldaten aktuell nicht vor.

DHIS2 ist ein flexibles Informationssystem für Datenerfassung, -verwaltung, -validierung, Analyse und Visualisierung. Im SqlView-API-Endpunkt der Anwendung wurde eine SQL-Injection-Schwachstelle festgestellt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: verfügbare Sicherheitsaktualisierungen des Herstellers einspielen und den Zugriff auf den betroffenen API-Endpunkt einschränken.

Im Desktop Window Manager besteht eine Use-after-free-Schwachstelle, die einem bereits authentifizierten Angreifer eine lokale Rechteausweitung ermöglicht. CVSS-Basiswert: 7.8 (Hoch).

In der Windows-Komponente Desktop Window Manager besteht eine Use-after-Free-Schwachstelle. Ein bereits authentifizierter Angreifer kann dadurch lokal seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch).

Im benutzerdefinierten PowerShell-VPN-Editor von Devolutions Remote Desktop Manager (Version 2026.2.5 bis 2026.2.11) wird der Link anhand des Anzeigenamens fehlerhaft aufgelöst. Ein authentifizierter Angreifer mit Schreibzugriff auf einen gemeinsam genutzten Workspace kann dadurch über eine Kollision des Anzeigenamens mit einem bestehenden VPN-Skript-Link ein PowerShell-Skript im Kontext eines anderen Benutzers ausführen. CVSS-Basiswert: 7.2 (Hoch).

IBM Langflow Desktop in den Versionen 1.0.0 bis 1.8.4 erlaubt einem Angreifer die Ausführung beliebiger Befehle mit den Rechten des Langflow-Prozesses. Dadurch können sensible Umgebungsvariablen wie API-Schlüssel und Datenbank-Zugangsdaten ausgelesen, Dateien verändert und weitere Angriffe im internen Netz gestartet werden. CVSS-Basiswert: 8.8 (Hoch).

IBM Langflow Desktop erlaubt in den Versionen 1.0.0 bis 1.8.4 nicht authentifizierten Nutzern über eine indirekte Objektreferenz mit einem nutzerkontrollierten Schlüssel den Zugriff auf Bilder anderer Nutzer. Ein Angreifer kann dadurch ohne eigene Anmeldung vertrauliche Bilddaten fremder Konten einsehen. CVSS-Basiswert: 7.5 (Hoch).

In der Komponente ADPatch des Produkts Oracle Applications DBA innerhalb der Oracle E-Business Suite besteht eine schwer auszunutzende Schwachstelle in den Versionen 12.2.3 bis 12.2.15. Ein hochprivilegierter Angreifer mit Netzwerkzugriff über HTTP kann Oracle Applications DBA kompromittieren; ein erfolgreicher Angriff erfordert zusätzlich die Interaktion einer weiteren Person als dem Angreifer. Durch einen Scope-Wechsel können auch weitere Produkte signifikant betroffen sein. CVSS-Basiswert: 7.6 (Hoch).

In der Platform-Komponente der Oracle Financial Services Analytical Applications Infrastructure (Oracle Financial Services Applications) besteht eine leicht ausnutzbare Schwachstelle, die ein nicht authentifizierter Angreifer über HTTP-Netzwerkzugriff ausnutzen kann. Betroffen sind die Versionen 8.0.7.9, 8.0.8.7 und 8.1.2.5. Ein erfolgreicher Angriff kann zu unautorisiertem Zugriff auf kritische Daten oder vollständigem Zugriff auf alle für die Infrastruktur zugänglichen Daten führen. CVSS-Basiswert: 7.5 (Hoch), Vertraulichkeitsauswirkung. Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht in den Quelldaten vor.

Im Produkt Oracle Financial Services Analytical Applications Infrastructure (Komponente Platform) besteht eine leicht ausnutzbare Schwachstelle, die ein nicht authentifizierter Angreifer über HTTP-Netzwerkzugriff ausnutzen kann. Betroffen sind die unterstützten Versionen 8.0.7.9, 8.0.8.7 und 8.1.2.5. Ein erfolgreicher Angriff kann zu unautorisiertem Zugriff auf kritische Daten oder vollständigem Zugriff auf alle für die Anwendung zugänglichen Daten führen. CVSS-Basiswert: 7.5 (Hoch).