Automation Anywhere Automation 360 – CSV-Injection (vom Hersteller bestritten)

Beschreibung

In Automation Anywhere Automation 360 Version 21094 erlaubt eine CSV-Injection-Schwachstelle Angreifern laut Meldung die Ausführung beliebigen Codes über eine präparierte Nutzlast. Der Hersteller Automation Anywhere bestreitet den Befund: Die Nutzlast werde clientseitig in die HTTP-Antwort injiziert, der Endnutzer sei Eigentümer von Antwort und Nutzlast, die Sicherheitskontrollen des Servers und des Control Room seien nicht betroffen, weshalb es sich aus Herstellersicht nicht um eine gültige Schwachstelle handle. CVSS-Basiswert: 7.8 (Hoch). Eine empfohlene Massnahme liegt in den Quelldaten nicht vor.

Changelog

1. 2026-07-27 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Rockwell Automation

• Rockwell Multiple Products – Insufficient Protected Credentials KEV CVE-2021-22681
• Cisco IOS/IOS XE SNMP – Denial of Service und Remote Code Execution KEV CVE-2025-20352
• VMware ESXi/Workstation – TOCTOU Race Condition KEV CVE-2025-22224
• VMware ESXi – Arbitrary Write Vulnerability KEV CVE-2025-22225
• VMware ESXi/Workstation/Fusion – Information Disclosure KEV CVE-2025-22226
• Microsoft Windows Installer – Improper Privilege Management KEV CVE-2024-38014