syncfusion ej2-javascript-ui-controls: OS-Command-Injection über child_process.exec

Beschreibung

In syncfusion ej2-javascript-ui-controls bis einschliesslich Version 33.2.3 ermöglicht die Funktion child_process.exec in der Datei package.json laut Quelle eine OS-Command-Injection. Durch Manipulation lassen sich Betriebssystembefehle einschleusen. Der CVSS-Basiswert liegt bei 5.3 (Mittel); die Ausnutzung erfolgt laut Vektor lokal mit niedrigen Rechten und ohne Nutzerinteraktion und wirkt sich begrenzt auf Vertraulichkeit, Integrität und Verfügbarkeit aus. Ein fehlerbereinigter Stand sollte eingespielt werden.

Changelog

1. 2026-07-23 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ubiquiti

• Ubiquiti UniFi OS: unzureichende Zugriffskontrolle KEV CVE-2026-34908
• Ubiquiti UniFi OS: Path Traversal wird aktiv ausgenutzt KEV CVE-2026-34909
• Ubiquiti UniFi OS – Schwachstelle durch unzureichende Eingabevalidierung KEV CVE-2026-34910
• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Cisco IOS XE Web UI Command Injection Vulnerability KEV CVE-2023-20273
• Cisco IOS XE Web UI Privilege Escalation Vulnerability KEV CVE-2023-20198