Zoho ManageEngine Seite 8

In atototo api-lab-mcp bis Version 0.2.1 wurde eine Schwachstelle in den Funktionen analyze_api_spec, generate_test_scenarios und test_http_endpoint der Datei src/mcp/http-server.ts identifiziert. Eine Manipulation kann die betroffene Komponente kompromittieren. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In OpenCost vor Version 1.121.0 fehlt am Endpoint GET /helmValues eine Authentifizierung. Dadurch lässt sich die base64-kodierte Umgebungsvariable HELM_VALUES auslesen, die laut Quelle Zugangsdaten von Cloud-Providern enthalten kann. CVSS-Basiswert: 7.5 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N – der Angriff ist über das Netz ohne Authentifizierung und ohne Benutzerinteraktion möglich. Empfohlene Massnahme: Update auf OpenCost 1.121.0 oder neuer einspielen.

Im kishan0725 Hospital Management System 4.0 besteht eine SQL-Injection-Schwachstelle im Endpunkt view-medhistory.php über den Parameter viewid. Angreifer können dadurch potenziell auf Datenbankinhalte zugreifen oder diese manipulieren. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Laut Quelle betrifft die Schwachstelle das Produkt Oracle Applications Framework der Oracle E-Business Suite (Komponente: Search Bean); als betroffen ausgewiesen sind die Versionen 12.2.3 bis 12.2.15. Die Lücke ist laut Beschreibung leicht ausnutzbar und laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Benutzerinteraktion angreifbar (AV:N/AC:L/PR:L/UI:N), mit vollständiger Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

In assafelovic gpt-researcher bis Version 3.4.3 betrifft eine Schwachstelle eine unbekannte Funktion der Komponente ws Endpoint. Die Manipulation des Arguments source_urls lässt sich ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.10, 40.9.3, 41.4.0 und 42.0.0 besteht laut Quellenbeschreibung eine Schwachstelle bei einem benutzerdefinierten Schema, das mit supportFetchAPI registriert ist; die Beschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 7.4 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

In Pimcore, einer Open-Source-Plattform für Daten- und Experience-Management, besteht in Versionen vor 11.5.17 (LTS) und 12.3.6 eine Schwachstelle im columnConfigAction-Endpunkt des CustomReportsBundle. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Pimcore 11.5.17 (LTS) bzw. 12.3.6 aktualisieren.

Eine Schwachstelle im Oracle Applications Framework von Oracle E-Business Suite (Komponente Search Bean [Incl. Advanced]) betrifft laut NVD die Versionen 12.2.3 bis 12.2.15. Die leicht ausnutzbare Lücke ist über das Netzwerk mit niedrigen Berechtigungen angreifbar und wirkt sich vor allem auf die Vertraulichkeit aus. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

In huimeicloud hm_editor bis Version 2.2.3 wurde eine Schwachstelle in der Funktion client.get der Datei src/mcp-server.js der Komponente image-to-base64-Endpoint festgestellt, die sich durch Manipulation ausnutzen lässt. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle in den Siebel CRM Cloud Applications von Oracle Siebel CRM (Komponente Siebel Cloud Manager) betrifft laut NVD die Versionen 22.3 bis 26.5. Die Lücke ist ohne Authentifizierung über das Netzwerk angreifbar, ihre Ausnutzung ist jedoch schwierig; betroffen sind vor allem die Vertraulichkeit sowie in geringem Umfang Integrität und Verfügbarkeit. CVSS-Basiswert: 7.0 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Eine Schwachstelle im Oracle Applications Technology Stack von Oracle E-Business Suite (Komponente: Client System Analyzer) betrifft laut Quelldaten die Versionen 12.2.3 bis 12.2.15. Die Ausnutzung wird als schwierig eingestuft. CVSS-Basiswert: 8.1 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Ghostwriter vor Version 7.1.2 prüft laut Quelle beim Endpoint zum Austausch von Report-Templates nicht, ob ein Template tatsächlich zum jeweiligen Client gehört. Dadurch können Angreifer client-gebundene Templates anderer Clients an ihre eigenen Reports anhängen. CVSS-Basiswert: 7.1 (Hoch). Eine aktive Ausnutzung oder eine EPSS-Einschätzung liegen aus den Quelldaten nicht vor.

Froxlor ist eine quelloffene Serververwaltungssoftware. Vor Version 2.3.7 bereinigt der API-Endpoint DomainZones.add keine Newline-Zeichen im Inhalt eines TXT-Records; laut Quelle kann ein authentifizierter Kunde dies ausnutzen. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

SiYuan-Versionen vor 3.8.2 enthalten eine Path-Traversal-Schwachstelle im Endpoint /api/riff/removeRiffDeck, der den Parameter deckID nicht validiert. Ein authentifizierter Administrator kann darüber Pfade ausserhalb des vorgesehenen Verzeichnisses angeben. CVSS-Basiswert: 8.7 (Hoch).

SurrealDB in Versionen vor 3.1.0 enthält im HTTP-Endpunkt /rpc eine Time-of-Check/Time-of-Use-Race-Condition. Nicht authentifizierte Anfragen können dadurch den authentifizierten Sitzungszustand übernehmen. CVSS-Basiswert: 8.1 (Hoch).

Sharp ist ein Content-Management-Framework, das als Paket für Laravel bereitgestellt wird. In Versionen vor 9.22.0 stellt Sharp einen generischen Download-Endpunkt bereit, der den Zugriff nur anhand der übergebenen Sharp-Entität autorisiert. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 9.22.0 oder neuer aktualisieren.

Im Endpunkt POST /api/prompts/share besteht eine gespeicherte Cross-Site-Scripting-Schwachstelle (Stored XSS). Vom Angreifer kontrollierter Inhalt des Feldes prompt_content wird persistent gespeichert und später an andere Nutzer ausgeliefert. CVSS-Basiswert: 8.7 (Hoch).

OpenRemote vor Version 1.25.0 enthält eine IDOR-Schwachstelle (Insecure Direct Object Reference) im Endpunkt zum Sammellöschen von Alarmen. Authentifizierte Benutzer können damit Alarme anderer dauerhaft löschen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf OpenRemote 1.25.0 oder neuer aktualisieren.

Das WordPress-Plugin Mapster WP Maps führt vor Version 1.24.0 an einem öffentlichen REST-Endpunkt keine Autorisierungs- oder Post-Status-Prüfung durch. Dadurch können nicht authentifizierte Nutzer Titel und vollständigen Inhalt abrufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Version 1.24.0 oder neuer.

iFlytek astron-agent enthält bis Version 1.1.1 eine Autorisierungsumgehung im copyFlow-Endpunkt, der die Eigentümerschaft eines Workflows nicht prüft. Authentifizierte Angreifer können dadurch Workflow-IDs enumerieren. CVSS-Basiswert: 8.1 (Hoch). Zu einer empfohlenen Massnahme liegen in den Quelldaten keine Angaben vor.

Das WordPress-Plugin Infility Global ist bis einschliesslich Version 2.15.21 anfällig für Stored Cross-Site-Scripting über den Log-Endpoint /cf7_record, bedingt durch unzureichende Eingabebereinigung. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Laut NVD ermöglicht eine SQL-Injection-Schwachstelle nach erfolgter Authentifizierung in Koollab LMS einem Angreifer, über den Endpunkt zur Aktualisierung von Präsenzterminen mittels einer fehlerbasierten SQL-Oracle-Technik die gesamte Datenbank auszulesen. CVSS-Basiswert: 8.1 (Hoch).

Jinher OA C6 weist eine XML External Entity (XXE)-Injection-Schwachstelle im Endpoint /c6/JHSoft.Web.HrmAttendance/sp_manager_getUserlist.aspx/GetXmlHttp auf. Ein nicht authentifizierter Angreifer kann sie aus der Ferne ausnutzen; weitere Details zur Auswirkung liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Im Produkt Oracle Applications Framework der Oracle E-Business Suite (Komponente Graph / Charting) besteht eine Schwachstelle. Betroffen sind die Versionen 12.2.3 bis 12.2.15. Die Lücke ist laut Quelle leicht und mit niedrigen Rechten über das Netzwerk ausnutzbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung gemäss Oracle-Advisory.

Der OIDC-Discovery-Endpunkt von Dapr Sentry leitet issuer und jwks_uri des /.well-known/openid-configuration-Dokuments aus dem Host der Anfrage ab und vertraut dabei einem vom Angreifer kontrollierbaren X-Forwarded-Host-Header. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Die Attachment-Download-Route von Documize Community (domain/attachment/endpoint.go, Funktion Download) ist über AddPublic ohne Authentifizierungs-Middleware registriert. Sie akzeptiert einen secure-Query-Parameter und gewährt darüber Zugriff auf Anhänge. CVSS-Basiswert: 7.5 (Hoch).

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.9, 40.9.2, 41.2.2 und 42.0.0-beta.5 besteht laut NVD eine Schwachstelle bei Apps, die Promise-liefernde Funktionen bereitstellen. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 7.5 (Hoch). Laut Zuordnung ist Zoho ManageEngine betroffen.

Ein entfernter Angreifer mit niedrig privilegiertem Operator-Zugriff kann über den für Firmware-Updates vorgesehenen REST-Endpunkt beliebige Dateien hochladen; die Dateien werden dabei dauerhaft und angreifergesteuert gespeichert. CVSS-Basiswert: 7.1 (Hoch).

SGLang weist eine Schwachstelle zur Offenlegung von Zugangsdaten auf: Der Endpunkt /server_info liefert API-Schlüssel und SSL-Keyfile-Informationen zurück, sobald ausschliesslich --admin-api-key konfiguriert ist. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Pinpoint bis einschliesslich Version 3.1.0 enthält im Endpunkt zur Webhook-Registrierung eine Server-Side-Request-Forgery-Schwachstelle. Authentifizierte Nutzer können interne URLs registrieren, weil ein SSRF-Schutz fehlt. CVSS-Basiswert: 8.5 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren.

Eine Schwachstelle im Init-Skript für Benutzeranwendungen erlaubt laut Quelle einem gering privilegierten lokalen Benutzer, beliebige Befehle mit Root-Rechten auszuführen. Dies führt zu einer vollständigen Kompromittierung des Systems. CVSS-Basiswert: 7.8 (Hoch).

Eine Schwachstelle im Init-Script für Benutzeranwendungen erlaubt es einem gering privilegierten lokalen Nutzer, beliebige Befehle mit Root-Rechten auszuführen, was zur vollständigen Kompromittierung des Systems führen kann. CVSS-Basiswert: 7.8 (Hoch). Betroffen ist Zoho (ManageEngine). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Im Endpunkt zur Verwaltung der Rollenmitgliedschaft von Devolutions Server besteht eine fehlerhafte Zugriffskontrolle. Ein authentifizierter, nicht-administrativer Nutzer mit der Berechtigung zur Verwaltung von Benutzergruppen-Mitgliedschaften kann diese laut Quelle ausnutzen, um seine eigenen Rechte auszuweiten. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle betrifft das Produkt Oracle Applications Framework der Oracle E-Business Suite, konkret die Komponente Web Utilities. Betroffen sind die unterstützten Versionen 12.2.11 bis 12.2.15. Es handelt sich um eine leicht ausnutzbare Schwachstelle. CVSS-Basiswert: 8.8 (Hoch).

Creative Cloud Desktop ist von einer Schwachstelle durch ein unkontrolliertes Suchpfad-Element betroffen, die zur Ausführung von Code im Kontext des aktuellen Benutzers führen kann. Laut Quelle hängt eine Ausnutzung von weiteren Bedingungen ab. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

ComfyUI ist eine modulare GUI für Diffusionsmodelle mit API- und Backend-Anbindung. Vor Version 0.28.0 lieferte der /view-Endpoint hochgeladene SVG-Dateien inline aus, da image/svg+xml und verwandte XML-Content-Typen nicht korrekt behandelt wurden. Dadurch kann eingebetteter Code innerhalb einer SVG-Datei im Kontext der Anwendung zur Ausführung kommen. CVSS-Basiswert: 8.2 (Hoch).

Die Huly Platform bis einschliesslich Version 0.7.423 enthält eine authentifizierte Server-Side-Request-Forgery-Schwachstelle im /import-Endpunkt des Front-Pods, über die Benutzer eines Arbeitsbereichs beliebige Anfragen auslösen können. CVSS-Basiswert: 8.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: den Fix aus Commit 68cbf8a bzw. eine korrigierte Version einspielen.

In Devolutions Server (Versionen 2026.2.11 und 2026.1.22) besteht eine fehlerhafte Autorisierung am Endpunkt für den Status von Zugriffsanfragen. Ein bereits authentifizierter Angreifer mit geringen Rechten kann dadurch seine eigene ausstehende Zugriffsanfrage selbst genehmigen. CVSS-Basiswert: 7.1 (Hoch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das Docker-CLI-Flag --use-api-socket umgeht die Enhanced Container Isolation (ECI) in Docker Desktop. Wenn ECI aktiviert ist, werden Docker-Socket-Mounts aus Containern normalerweise unterbunden; dieses Flag hebt diese Beschränkung auf und ermöglicht so einen Sicherheitsmechanismus-Bypass. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das Starten von Spring-Boot-Anwendungen in den Spring Tools bei aktiviertem Live-Information-Modus macht die laufende Anwendung laut Quelle anfällig für JMX-basierte Remote Code Execution. CVSS-Basiswert: 8.0 (Hoch).

LimeSurvey enthält bis einschliesslich Version 6.17.10 sowie 7.0.4 eine Server-Side-Request-Forgery-Schwachstelle im REST-API-Endpunkt für Umfrage-Templates. Authentifizierte Benutzer können den Server dazu bringen, beliebige Anfragen auszulösen. CVSS-Basiswert: 7.7 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren und ausgehende Verbindungen des Servers einschränken.

In PipeWire, einem Multimedia-Server, besteht laut NVD eine Schwachstelle, die es einem Angreifer ermöglicht, aus sandboxed Anwendungen wie Flatpak auszubrechen, indem die PulseAudio-Kompatibilitätsschicht von PipeWire ausgenutzt wird. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Time-of-check-Time-of-use-Race-Condition (TOCTOU) in Microsoft Defender for Linux erlaubt einem autorisierten Angreifer, lokal einen Denial-of-Service auszulösen. CVSS-Basiswert: 7.0 (Hoch).

NewsBlur vor Version 14.5.0 enthält laut NVD eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im add_url-Endpunkt, über die authentifizierte Benutzer beliebige Serveranfragen an interne Netzwerke auslösen können. CVSS-Basiswert: 8.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf NewsBlur 14.5.0 oder neuer aktualisieren.

FOG ist eine quelloffene Suite zum Klonen, Imaging und zur Inventarverwaltung. Vor den Versionen 1.5.10.1832 und 1.6.0-beta.2313 besteht laut Quelle eine Schwachstelle im nicht authentifizierten Inventory-Service-Endpunkt (/service/inventory). Die Ausnutzung erfolgt laut Vektor über das Netzwerk mit niedrigen Rechten und erfordert Nutzerinteraktion; betroffen sind Vertraulichkeit und Integrität. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ein Update auf eine fehlerbereinigte Version sollte eingespielt werden.

WLEDs Endpunkt GET /json/cfg (registriert in wled00/wled_server.cpp) ruft laut NVD serveJson() auf, ohne die Settings-PIN zu prüfen – anders als der /edit-Endpunkt, der explizit correctPIN prüft. Dadurch werden laut Quellenbeschreibung Geräteinformationen offengelegt. CVSS-Basiswert: 8.2 (Hoch).

Eine Schwachstelle in der Komponente Mobile des Oracle Utilities Network Management System (Oracle Utilities Applications) betrifft laut Quelle die Versionen 2.5.0.1.0 bis 2.5.0.1.17 sowie die Reihe 2.5.0.2.x. Der CVSS-Vektor weist die Lücke als über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar aus, mit veränderten Sicherheitsgrenzen (Scope). CVSS-Basiswert: 7.2 (Hoch).

In Microsoft Defender besteht eine Time-of-Check-Time-of-Use-Race-Condition (TOCTOU). Ein bereits authentifizierter Angreifer kann dadurch lokal seine Rechte ausweiten. CVSS-Basiswert: 7.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im SAML-Broker-Bestandteil von Keycloak, der die Identitätsföderation und Benutzerauthentifizierung verwaltet, besteht laut NVD ein Fehler: Der IdP-initiierte Single-Sign-On-Endpunkt schlägt fehl; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 7.4 (Hoch).

Laut Quelle erlaubt eine unzureichende Eingabevalidierung in der Intel Endpoint Management Assistant (EMA) Software vor Version 1.14.5 eine Rechteausweitung. Unprivilegierte Software auf Ring-3-Ebene (Benutzeranwendungen) kann dadurch höhere Rechte erlangen. Der Angriff erfolgt aus einem angrenzenden Netzwerk ohne Vorrechte und ohne Benutzerinteraktion (AV:A/AC:L/PR:N/UI:N); eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Intel EMA 1.14.5 oder neuer.