TheNote
RSS cisa.gov | Rundschreiben Notiz
GooglePlay AppStore

RSS cisa.gov | Rundschreiben

Die Webseite der Cybersecurity and Infrastructure Security Agency (CISA) bietet eine Fülle von Informationen zum Schutz kritischer Infrastrukturen und zur Verbesserung der Cybersicherheit. Sie bietet Ressourcen für Unternehmen, Regierungsbehörden und Einzelpersonen, um Cybersicherheitsrisiken zu verstehen und zu bekämpfen. Hauptmerkmale sind Bedrohungsalarme, Sicherheitsbest Practices und Anleitung zum Umgang mit Vorfällen. Die Seite bietet auch Updates zu aufkommenden Bedrohungen und Schwachstellen, sowie Tools und Dienstleistungen, um die Sicherheitslage Ihrer Organisation zu verbessern.
Bulletins cisa.gov
RSS feeds.feedburner.com
RSS Hunter RSS Hunter • 22. Aug. 2024

Notizfaden

Schwachstellenübersicht für die Woche vom 22. September 2025

Flowise AI's Flowise Version 3.0.5 weist eine kritische Schwachstelle für Remote Code Execution auf, bei der Benutzereingaben im CustomMCP-Knoten ohne Validierung als JavaScript ausgeführt werden. Dies ermöglicht den Zugriff auf sensible Node.js-Module und wurde in Version 3.0.6 behoben. HaruThemes WooCommerce Designer Pro, bis Version 1.9.24, leidet unter einer Schwachstelle für uneingeschränkte Datei-Uploads. Iron Mountains enVision-Software weist vor Version 250563 Command Injection auf. TalentSys Consultings Inka.Net hat ebenfalls Command Injection-Probleme vor Version 6.7.1. Das WordPress-Plugin Podlove Podcast Publisher, bis Version 4.2.6, ermöglicht über seine Funktion 'move_as_original_file' beliebige Datei-Uploads. Das WooCommerce Uni CPO (Premium) Plugin, bis Version 4.9.54, weist ähnliche Schwachstellen für beliebige Datei-Uploads auf. Red Hats Nx Build-System-Paket und seine Plugins wurden durch einen Supply-Chain-Angriff kompromittiert, wobei Anmeldedaten gestohlen wurden. Ciscos Adaptive Security Appliance und Threat Defense-Software weisen Schwachstellen auf, die über manipulierte HTTP-Anfragen beliebige Codeausführung ermöglichen. Ciscos IOS, IOS XE und IOS XR-Software weisen ebenfalls Codeausführungsfehler aufgrund fehlerhafter Eingabevalidierung in HTTP-Anfragen auf. Qualcomm Snapdragon-Prozessoren weisen Speicherbeschädigungsschwachstellen bei der Verarbeitung von RTP-Paketen und während der PLMN-Auswahl auf. SolarWinds Web Help Desk weist eine Schwachstelle für nicht authentifizierte Deserialisierungs-RCE auf. Airship AIs Acropolis ist aufgrund eines Standard-Administratorkontos mit statischen Anmeldedaten anfällig. Die Webanwendungsdatenbank von WAGO Device Sphere ist unauthentifiziert zugänglich. Yonisinks Custom Post Type Images WordPress-Plugin weist eine CSRF-Schwachstelle auf, die zu Code-Injection führt. Cloud-gehostetes Flowise erlebte eine übergreifende Datenexposition von Mandanten über den Custom JavaScript Function-Knoten. Das Prompt-Modul der DNN Platform, vor Version 10.1.0, ermöglicht Skriptausführung. Horilla HRMS weist eine gespeicherte XSS-Schwachstelle in seinem Ticket-Kommentar-Editor auf. ADB MCP Server ist in seinen Tool-Definitionen anfällig für Command Injection. Flag Forge CTF weist Probleme bei der Sitzungsinvalidierung auf, die authentifizierten Benutzern nach dem Abmelden weiterhin Zugriff gewähren.
Vulnerability Summary for the Week of September 22, 2025 cisa.gov
RSS Hunter RSS Hunter • 29. Sept. 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 15. September 2025

Mehrere Softwareprodukte wurden mit schwerwiegenden Sicherheitslücken identifiziert, von denen viele SQL-Injection-Schwachstellen sind. Diese Schwachstellen ermöglichen es Angreifern, potenziell bösartigen Code einzuschleusen oder Sicherheitsmaßnahmen zu umgehen. Fortra GoAnywhere MFT weist eine Deserialisierungs-Schwachstelle auf, die eine Befehlseinschleusung ermöglicht. Spring Cloud Gateway ist unter bestimmten Bedingungen anfällig für die Modifizierung von Spring Environment-Eigenschaften. Tenda AC1206 Router leiden unter einem Stack-basierten Pufferüberlauf. Das WordPress-Theme "Goza" ermöglicht unbefugtes Hochladen von Dateien, was potenziell zur Ausführung von Remote-Code führen kann. NVIDIA Triton Inference Server ist aufgrund seines Python-Backends anfällig für Remote-Code-Ausführung. Mehrere andere Produkte, darunter Geräte von Dover Fueling Solutions und SINAV.LINK von BGS Interactive, weisen ebenfalls SQL-Injection-Schwachstellen auf. BMC Control-M/Agent weist Schwachstellen zur Umgehung der Authentifizierung auf, und Dyad ist anfällig für die Ausführung von beliebigem Code. Linkr fehlt die Manifest-Verifizierung, was zu potenzieller Dateieinschleusung und Remote-Code-Ausführung führt. Schließlich weisen Jinjava und Chaos Controller Manager Schwachstellen auf, die die Ausführung von Remote-Code und die vollständige Übernahme des Clusters ermöglichen.
Vulnerability Summary for the Week of September 15, 2025 cisa.gov
RSS Hunter RSS Hunter • 22. Sept. 2025

Schwachstellenübersicht für die Woche vom 8. September 2025

Dieser Bericht beschreibt zahlreiche hochriskante Schwachstellen, die verschiedene Softwareprodukte betreffen. Adobe-Produkte sind stark betroffen, wobei Acrobat Reader, Adobe Commerce und ColdFusion anfällig für Schwachstellen sind, die zur Codeausführung oder zur Übernahme von Sitzungen führen können. Adobe Experience Manager weist eine Umgehung von Sicherheitsfunktionen auf, während Dreamweaver und Premiere Pro ebenfalls Risiken der Codeausführung bergen. Mehrere Schwachstellen wurden in den Anwendungen Substance3D Modeler und Viewer von Adobe identifiziert, die hauptsächlich mit Speicherbeschädigung zusammenhängen und zur Codeausführung führen. Das AptioV BIOS von AMI enthält Schwachstellen, die zur Offenlegung von Informationen und zum Schreiben von Daten führen. WordPress-Plugins wie LWS Cleaner und Goza sind anfällig für die Löschung beliebiger Dateien, was potenziell zur Remote-Codeausführung führen kann. Die Axios JavaScript-Bibliothek weist eine Denial-of-Service-Schwachstelle bei der Verarbeitung von Daten-URIs auf. AxxonSofts Axxon One VMS ist von mehreren Problemen betroffen, darunter die Ausnutzung von nicht gewarteten Drittanbieterkomponenten und anfälligen PostgreSQL-Versionen, was Risiken der Codeausführung und der Rechteausweitung birgt. Baicells-Netzwerkgeräte weisen schwerwiegende Schwachstellen wie Standardanmeldedaten, hartkodierte Anmeldedaten und undokumentierte Funktionen auf, wobei einige mit CVSS 10 bewertet werden. Beckhoffs TwinCAT 3 Engineering weist eine Schwachstelle auf, die die Ausführung von Befehlen über manipulierte Projektdateien ermöglicht. Bender CC612-Geräte legen Anmeldedaten offen und übertragen sensible Daten unsicher. Mehrere Campcodes-Systeme, darunter Grocery Sales and Inventory System und Online Loan Management System, sind anfällig für SQL-Injection in ihren AJAX-Endpunkten.
Vulnerability Summary for the Week of September 8, 2025 cisa.gov
RSS Hunter RSS Hunter • 15. Sept. 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 1. September 2025

Der bereitgestellte Text listet zahlreiche Schwachstellen mit hoher Schwere auf, die verschiedene Softwareprodukte betreffen. SQL-Injection ist eine wiederkehrende Schwachstelle, die in mehreren Systemen gefunden wurde, darunter dem 1000projects Beauty Parlour Management System und mehreren Campcodes-Systemen. Eine unzureichende Einschränkung exzessiver Authentifizierungsversuche ermöglicht die Umgehung der Authentifizierung in vielen Akinsoft-Produkten wie e-Mutabakat und LimonDesk. Cross-Site-Request-Forgery (CSRF) ist in aakash1911 WP likes und Akınsoft QR Menü vorhanden. AMD-Prozessoren und Grafikprodukte sind von Problemen wie unzureichender Bereinigung, Typverwirrung und unzureichender Eingabevalidierung betroffen, die zu potenzieller Codeausführung oder Datenverlust führen können. Argo CD hat eine kritische Schwachstelle, die es API-Tokens ermöglicht, sensible Repository-Zugangsdaten abzurufen. Andere Schwachstellen umfassen Reflected XSS, PHP Local File Inclusion und fehlende Authentifizierung. Viele dieser Exploits sind öffentlich verfügbar und könnten remote ausgenutzt werden. Die aufgeführten Schwachstellen reichen in ihren CVSS-Scores, wobei einige kritische Level wie 9,8 und 10 erreichen.
Vulnerability Summary for the Week of September 1, 2025 cisa.gov
RSS Hunter RSS Hunter • 8. Sept. 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 25. August 2025

Im 1000projects Online Project Report Submission and Evaluation System 1.0 existiert eine SQL-Injection-Schwachstelle, die es entfernten Angreifern ermöglicht, das batch_id Argument zu manipulieren. Yahoo! WebPlayer-Versionen bis 2.0.6 sind von Reflected Cross-Site Scripting (XSS) betroffen. WPMU Ldap-Authentifizierungsversionen bis 5.0.1 leiden unter Cross-Site Request Forgery (CSRF), was zu gespeichertem XSS führt. Drag & Drop File Upload für Elementor Forms-Versionen bis 1.5.3 hat eine Unrestricted File Upload-Schwachstelle, die Web-Shell-Uploads ermöglicht. Agiloft Release 28 enthält kritische Systempakete, die über unsicheres HTTP heruntergeladen wurden, und enthält Standardanmeldeinformationen für die Rechteausweitung. QbiCRMGateway von Ai3 hat eine Arbitrary File Reading Schwachstelle via Relative Path Traversal. Arista EOS-Plattformen können böswillig gebildete UDP-Pakete auf Port 3503 akzeptieren. Poll, Survey & Quiz Maker Plugin von Opinion Stage Versionen bis 19.11.0 ermöglicht PHP Local File Inclusion. Asterisk-Versionen vor 20.15.2, 21.10.2 und 22.5.2 weisen eine Absturz-Schwachstelle in res_pjsip_authenticator_digest auf, die auf eine unsachgemäße Verarbeitung von SIP-Autorisierungsheadern zurückzuführen ist. Tiktok Feed by bPlugins Versionen bis 1.0.21 besitzen eine Missing Authorization Schwachstelle.
Vulnerability Summary for the Week of August 25, 2025 cisa.gov
RSS Hunter RSS Hunter • 2. Sept. 2025

Zusammenfassung der Schwachstellen für die Woche vom 18. August 2025

Mehrere Softwareprodukte wurden mit erheblichen Schwachstellen identifiziert. VaulTLS-Versionen vor 0.9.1 weisen eine Umgehung der Authentifizierung auf, die Logins mit leeren Passwörtern ermöglicht. Elite Video Player bis Version 10.0.5 hat eine Cross-Site-Scripting-Schwachstelle. Ads.txt Guru Connect bis Version 1.1.1 ist anfällig für Cross-Site Request Forgery. Audiobookshelf-Versionen 2.6.0 bis 2.26.3 haben eine OpenID Connect-Callback-Schwachstelle, die zu einer Übernahme des Kontos führt. Aiven-db-migrate-Versionen vor 1.0.7 enthalten Schwachstellen bei der Rechteerweiterung in PostgreSQL-Migrationen. BuddyPress XProfile Custom Image Field bis Version 3.0.1 ermöglicht Pfadübergreifung. FunnelKit Automations und Funnel Builder Plugins exponieren sensible Informationen über einen Shortcode. Pin WP-Versionen vor 7.2 erlauben unbeschränkte Datei-Uploads gefährlicher Typen. Eventin AI Powered Event Manager bis Version 4.0.37 hat eine Server-Side Request Forgery-Schwachstelle. Ashlar-Vellum Cobalt und verwandte Produkte vor 12.6.1204.204 weisen mehrere Schwachstellen auf, die aufgrund unsachgemäßer Dateiverarbeitung zur Ausführung von beliebigem Code führen. AVEVA PI Integrator ermöglicht authentifizierten Benutzern die Speicherung ausführbarer Dateien. NEX-Forms bis Version 9.1.3 ist anfällig für CSRF. ZoloBlocks bis Version 2.3.2 hat eine PHP-Remote-File-Inclusion-Schwachstelle. Belkin AX1800 Version 1.1.00.016 hat eine Schwachstelle im Firmware-Update-Handler. Screenshot-desktop-Versionen vor 1.15.2 erlauben Befehlsinjektion. SEOPress for MainWP bis Version 1.4 hat eine PHP-Remote-File-Inclusion-Schwachstelle. Oik bis Version 4.15.2 hat eine Cross-Site-Scripting-Schwachstelle. SureDash bis Version 1.0.3 hat eine Schwachstelle bei der falschen Zuweisung von Berechtigungen. Bravis User und Case Theme User Plugins bis zu den Versionen 1.0.0 bzw. 1.0.3 weisen Schwachstellen bei der Umgehung der Authentifizierung auf. Centreon web-Versionen sind von SQL-Injection-Schwachstellen in Ereignisprotokollen und Metaservice-Indikatorseiten betroffen. Caliris bis Version 1.5 und Paid Member Subscriptions bis Version 2.15.4 haben PHP-Remote-File-Inclusion-Schwachstellen. WP Webhooks bis Version 3.3.5 erlaubt das Kopieren beliebiger Dateien. CM Map Locations bis Version 2.1.6 hat eine Cross-Site-Scripting-Schwachstelle.
Vulnerability Summary for the Week of August 18, 2025 cisa.gov
RSS Hunter RSS Hunter • 25. Aug. 2025

Schwachstellenübersicht für die Woche vom 11. August 2025

Es wurden mehrere kritische Schwachstellen öffentlich bekannt gegeben und sind potenziell ausnutzbar. Das Verkaufsmanagementsystem 1000 Projects, Version 1.0, ist von mehreren SQL-Injektionsschwachstellen in verschiedenen PHP-Dateien betroffen, die Fernangriffe ermöglichen. Das offizielle Dokumentenmanagementsystem von 2100 Technology hat eine kritische Authentifizierungs-Umgehungsschwachstelle, die es nicht authentifizierten Benutzern ermöglicht, Verbindungstoken zu erhalten und Zugriff zu erlangen. Das WordPress-Plugin Assistant for NextGEN Gallery hat eine Verzeichnislöschungsschwachstelle, die zu einem vollständigen Verlust der Verfügbarkeit führen kann. ABB-Produkte, einschließlich ASPECT und ABB AbilityTM zenon, weisen verschiedene Probleme auf, wie Code-Injektion, unzureichend geschützte Anmeldedaten, Authentifizierungs-Umgehung und fehlende Authentifizierung für kritische Funktionen. Acato's WP REST Cache hat eine PHP-Fern-Datei-Einschluss-Schwachstelle. Adobe Commerce-Versionen vor bestimmten Patches sind anfällig für Cross-Site-Request-Forgery und gespeicherte Cross-Site-Skripting, mit dem Potenzial für Privilegien-Eskalation und Datenkompromittierung. Adobe Commerce ist auch von fehlerhafter Eingabevaluierung betroffen, die zu Dienstausfällen und falscher Autorisierung führen kann, die Sicherheitsumgehungen ermöglicht. Mehrere Adobe-Produkte, einschließlich Framemaker, Animate, Illustrator, InCopy und InDesign Desktop, haben verschiedene Speicherkorruptions-Schwachstellen wie Use After Free, out-of-bounds-Schreibzugriffe und Buffer-Überläufe. Diese Adobe-Schwachstellen erfordern in der Regel Benutzerinteraktion, oft durch das Öffnen von bösartigen Dateien, um willkürlichen Code-Ausführung zu erreichen. Die Gesamt-Schwere dieser bekannt gegebenen Schwachstellen ist hoch, mit CVSS-Werten, die erheblich variieren.
Vulnerability Summary for the Week of August 11, 2025 cisa.gov
RSS Hunter RSS Hunter • 18. Aug. 2025

Schwachstellenübersicht für die Woche vom 4. August 2025

Adobe Experience Manager-Versionen 6.5.23 und früher sind anfällig für Fehlkonfigurationen, die willkürlichen Code-Ausführungen und XXE ermöglichen, was zu Lesezugriffen auf das Dateisystem führt. ADOdb-Versionen 5.22.9 und darunter haben eine SQL-Injektions-Schwachstelle in bestimmten Methoden, wenn sie mit SQLite verwendet werden. Das Eventin-WordPress-Plugin, bis Version 4.0.34, ermöglicht die Eskalation von Privilegien durch Übernahme von Konten. Autodesk 3ds Max ist anfällig für willkürliche Code-Ausführungen durch speziell gestaltete RBG- und TGA-Dateien aufgrund von out-of-bounds-Schreibzugriffen und Speicherkorruption. Belkin F9K1009 und F9K1010, Versionen 2.00.04/2.00.09, enthalten kritische, hartcodierte Anmeldedaten in ihrer Web-Schnittstelle. Burk Technology ARC Solo-Geräte ermöglichen unberechtigten Angreifern, das Administrator-Passwort zu ändern. Die react-native-bottom-tabs-Bibliothek, bis Version 0.9.2, hat eine Workflow-Schwachstelle, die willkürliche Code-Ausführungen und Geheimnis-Exfiltration ermöglicht. GLPI-screenshot-plugin-Versionen unter 2.0.2 ermöglichen authentifizierten Benutzern, Dateien zu leaken oder PHP-Wrappers zu verwenden. CesiumLab Web, bis Version 4.0, hat eine kritische SQL-Injektions-Schwachstelle, die das lodmodels-Komponent beeinträchtigt. CleverReach WP-Plugin für WordPress, bis Version 1.5.20, ist anfällig für zeitbasierte SQL-Injektionen über den 'title'-Parameter. Code-projects Online Medicine Guide 1.0 und Simple Art Gallery 1.0 leiden beide unter kritischen SQL-Injektions-Schwachstellen. CODESYS Control RTE (SL) ermöglicht Angreifern mit niedrigen Privilegien, Zertifikate und Schlüssel zu lesen und zu schreiben, und hat auch eine NULL-Zeiger-Dereferenz-Schwachstelle. Cursor-Code-Editor-Versionen unter 1.3.9 ermöglichen Angreifern, Workspace-Dateien ohne Zustimmung zu schreiben, was potenziell zu RCE führen kann. Der Assemblyline 4 Service Client, vor Version 4.6.1.dev138, ist anfällig für Pfad-Traversierung. LibreChat-Versionen 0.0.6 bis 0.7.7-rc1 exponieren einen Test-Endpunkt, der willkürliches Chat-Lesen ermöglicht. DELMIA Apriso-Versionen 2020 bis 2025 haben fehlende Autorisierung und Code-Injektions-Schwachstellen. Dell Avamar-Versionen vor 19.12 haben eine serverseitige vertrauende HTTP-Berechtigungsmethode-Schwachstelle. Dell Digital Delivery-Versionen vor 5.6.1.0 haben unzureichend geschützte Anmeldedaten. Dell ECS-Versionen vor 3.8.1.5 und ObjectScale 4.0.0.0 verwenden hartcodierte kryptografische Schlüssel. Dell Enterprise SONiC OS, Version 4.5.0, hat eine kryptografische Schlüssel-Schwachstelle in SSH. Dell PowerProtect Data Domain und DD OS-Versionen haben eine Authentifizierungsbypass-Schwachstelle durch Spoofing.
Vulnerability Summary for the Week of August 4, 2025 cisa.gov
RSS Hunter RSS Hunter • 11. Aug. 2025

Schwachstellenübersicht für die Woche vom 28. Juli 2025

Mehrere Software-Produkte enthalten kritische Schwachstellen, die erhebliche Sicherheitsrisiken bergen. Diese Schwachstellen reichen von Denial-of-Service-Angriffen bis hin zu Ferncode-Ausführung und Privilegien-Eskalation. Betroffene Software umfasst unter anderem vproxy, 1Panel, Copyparty, PowerCMS und Pearcleaner. Die Schwachstellen resultieren aus verschiedenen Gründen, wie unsicherer Handhabung von Benutzereingaben, unvollständiger Zertifikatsüberprüfung und unzureichender Eingabevalidierung. Viele Schwachstellen ermöglichen Angreifern die Ausführung beliebiger Code, die Kompromittierung der Systemsicherheit und das potenzielle Stehlen sensibler Daten. Patches sind für einige der identifizierten Schwachstellen verfügbar, während andere noch nicht gepatcht wurden. Die Bewertungen des Common Vulnerability Scoring System (CVSS) reichen von 7,2 bis 9,9, was einen hohen Schweregrad anzeigt. Exploits für einige Schwachstellen sind öffentlich verfügbar, was die Dringlichkeit für Updates und Gegenmaßnahmen erhöht. Organisationen, die diese Produkte verwenden, sollten die Anwendung von Sicherheitspatches sofort priorisieren.
Vulnerability Summary for the Week of July 28, 2025 cisa.gov
RSS Hunter RSS Hunter • 4. Aug. 2025

Zusammenfassung der Schwachstellen für die Woche vom 21. Juli 2025

Mehrere Schwachstellen wurden in verschiedenen Softwaresystemen entdeckt, darunter 1000 Projects' ABC Courier Management System, alexacrm's Dataverse Integration, ASKEY's RTF8207w, Autodesk's RealDWG und Revit, AWS Client VPN, Bayraktar Solar Energies' ScadaWatt Otopilot, Bloomberg's Comdb2, bsecuretech's bSecure Your Universal Checkout, Campcodes' Sales and Inventory System, Canonical's MAAS, Chanjet's CRM, code-projects' Church Donation System, Exam Form Submission und Online Ordering System.Diese Schwachstellen umfassen unter anderem SQL-Injection, Rechteausweitung, stapelbasierte Pufferüberläufe, Out-of-Bounds-Reads und Denial-of-Service-Angriffe. Sie können aus der Ferne ausgenutzt werden und Angreifern ermöglichen, beliebigen Code auszuführen, Konten zu übernehmen oder sensible Daten zu lesen.Die betroffenen Softwareversionen reichen von 1.0 bis 8.1, und die Schwachstellen wurden mit CVE-IDs und CVSS-Scores zwischen 7,3 und 9,8 bewertet. Die Exploits wurden öffentlich gemacht und können von Angreifern genutzt werden.Benutzern wird geraten, neue Installationen der betroffenen Software einzustellen und auf die neuesten Versionen zu aktualisieren, um diese Schwachstellen zu beheben.
Vulnerability Summary for the Week of July 21, 2025 cisa.gov
RSS Hunter RSS Hunter • 28. Juli 2025

Schwachstellenübersicht für die Woche vom 14. Juli 2025

Der aapanel WP Toolkit Plugin ist anfällig für Privilege Escalation, wodurch Abonnenten Administratorrechte erlangen können. Attachment Manager Plugin-Versionen bis 2.1.2 sind anfällig für willkürliches Löschen von Dateien, was potenziell zur Ausführung von Remote-Code führen kann. Adrian Tobey's Groundhogg Plugin, bis Version 4.2.1, erlaubt den uneingeschränkten Upload gefährlicher Dateitypen, was den Upload von Web-Shells ermöglicht. Alcatel-Lucent OmniAccess Stellar Produkte weisen mehrere kritische Schwachstellen auf, darunter Command Injection mit Root-Rechten und Session-ID-Spoofing, die Angreifern die volle Kontrolle über Access Points ermöglichen. Arisoft's Contact Form 7 Editor Button leidet unter Reflected XSS und Atakan Au's Import CDN-Remote Images hat Stored XSS durch CSRF. August Infotech's Multi-language Responsive Contact Form hat fehlende Autorisierung, was den unbefugten Zugriff auf Funktionalitäten ermöglicht. Awethemes' Hillter Theme hat eine Deserialisierungs-Schwachstelle, die Object Injection ermöglicht. B1.lt Plugin-Versionen bis 2.2.56 erlauben SQL Injection für authentifizierte Benutzer. Alone Charity Multipurpose Non-profit WordPress Theme von Bearsthemes hat Schwachstellen für willkürliches Löschen und Hochladen von Dateien, was potenziell zur Ausführung von Remote-Code führen kann. Bears Backup Plugin-Versionen bis 2.0.0 erlauben nicht authentifizierten Angreifern die Ausführung von beliebigem Code auf dem Server. BossSoft CRM 6.0 und Campcodes Online Movie Theater Seat Reservation System 1.0 sind anfällig für SQL Injection. Cisco Identity Services Engine Software hat eine API-Schwachstelle, die nicht authentifizierte Root-Privilege-Eskalation ermöglicht. CMSJunkie's WP-BusinessDirectory Plugin bis 3.1.3 ist anfällig für Blind SQL Injection. cmsMinds' Pay with Contact Form 7 hat Reflected XSS. Mehrere Code-Projekte-Systeme, darunter AVL Rooms, Church Donation System und Electricity Billing System, weisen kritische SQL Injection-Schwachstellen auf. Schließlich hatte apko von chainguard-dev, bis Version 0.29.4, kritische Probleme mit Dateiberechtigungen, die für Root-Eskalation missbraucht werden konnten.
Vulnerability Summary for the Week of July 14, 2025 cisa.gov
RSS Hunter RSS Hunter • 21. Juli 2025

Zusammenfassung der Schwachstellen für die Woche vom 7. Juli 2025

Es wurden multiple hochkritische Sicherheitsprobleme in verschiedenen Produkten identifiziert, darunter Radiflows iSAP Smart Collector, Wagos Wago Device Sphere und wftpserver's Wing FTP Server. Diese Schwachstellen ermöglichen die ferngesteuerte Ausführung von Code, beliebige Dateiuploads und die Eingabe von OS-Befehlen, unter anderem. Die CVSS-Bewertungen für diese Schwachstellen reichen von 9,1 bis 10, was auf eine hohe Schweregrad hinweist. Andere betroffene Produkte umfassen webbertakkens docusaurus-plugin-content-gists, eemitchs Simple File List und AIT Themes' AIT CSV-Import-/Export. Qualcomms Snapdragon und Honeywells C300 PCNT02 haben hochkritische Schwachstellen, darunter kryptographische Probleme und Integer-Underflow-Schwachstellen. Phoenix Contacts CHARX SEC-3150 und Adobes Adobe Connect haben Schwachstellen, die die ferngesteuerte Ausführung von Code und die Deserialisierung von nicht vertrauenswürdigen Daten ermöglichen. Andere betroffene Produkte umfassen Axis Communications' AXIS Camera Station Pro, Frauschers FDS102 und Hewlett Packard Enterprises HPE Networking Instant On. SAP SE hat multiple hochkritische Schwachstellen in seinen Produkten, darunter SAP NetWeaver Application Server for Java und SAP S/4HANA. Microsofts Windows 10 Version 1809 und Schioccios Support Board haben hochkritische Schwachstellen, darunter Heap-basierte Pufferüberlauf- und beliebige Dateilöschprobleme.
Vulnerability Summary for the Week of July 7, 2025 cisa.gov
RSS Hunter RSS Hunter • 14. Juli 2025

Zusammenfassung der Schwachstellen für die Woche vom 30. Juni 2025

Es wurden multiple Schwachstellen in verschiedenen Produkten entdeckt, darunter ABB RMC-100, Alinto SOPE, aonetheme Service Finder Booking, ApusWP Kossy und asaquzzaman WP Human Resource Management. Diese Schwachstellen umfassen Stapel-basierte Buffer-Überläufe, Privilegien-Eskalation, PHP-Remote-Datei-Einbindung und Cross-Site-Skripting. Die betroffenen Produkte und Versionen sind aufgeführt, zusammen mit ihren entsprechenden CVE-Nummern und CVSS-Bewertungen. Die Schwachstellen können remote ausgenutzt werden und ermöglichen Angreifern möglicherweise, Buffer zu überfluten, Privilegien zu eskalieren, Code einzuschieben oder andere schädliche Aktionen durchzuführen. Einige Anbieter wurden über die Offenlegungen informiert, aber haben nicht reagiert. Die Exploits wurden der Öffentlichkeit bekannt gemacht und können verwendet werden. Die Schwachstellen betreffen verschiedene Komponenten, darunter REST-Schnittstellen, Webseiten und PHP-Programme. Benutzer werden gebeten, ihre Produkte auf die neuesten Versionen zu aktualisieren, um diese Schwachstellen zu minimieren. Die CVSS-Bewertungen reichen von 7,1 bis 9,8, was eine hohe bis kritische Schwere anzeigt.
Vulnerability Summary for the Week of June 30, 2025 cisa.gov
RSS Hunter RSS Hunter • 7. Juli 2025

Zusammenfassung der Schwachstellen für die Woche vom 23. Juni 2025

Mehrere Schwachstellen wurden in verschiedenen Produkten entdeckt, darunter 70mai M300, AcmeeDesign WPShapere Lite und Adrian Tobey FormLift für Infusionsoft Web Forms. Diese Produkte sind von kritischen Problemen wie der Verwendung von Standardanmeldedaten, Cross-Site-Request-Forgery und Cross-Site-Scripting betroffen. Angreifer können die Schwachstellen ausnutzen, um unbefugten Zugriff zu erlangen, beliebigen Code auszuführen oder sensible Informationen zu stehlen. Die betroffenen Produkte und ihre jeweiligen Schwachstellen wurden öffentlich bekannt gegeben. Benutzern wird geraten, ihre Software auf die neuesten Versionen zu aktualisieren, um die Risiken zu mindern. Das Common Vulnerabilities and Exposures (CVE)-System hat jeder Schwachstelle eindeutige Identifikatoren zugewiesen, wie z. B. CVE-2025-6529 und CVE-2025-53317, um die Probleme zu verfolgen und zu verwalten. Die CVSS-Scores, die von 7,1 bis 10 reichen, geben den Schweregrad der Schwachstellen an, wobei höhere Scores kritischere Probleme darstellen. Die Hersteller der betroffenen Produkte wurden benachrichtigt, und einige haben Patches oder Updates veröffentlicht, um die Schwachstellen zu beheben. Benutzern wird empfohlen, die CVE-Einträge zu überprüfen und die erforderlichen Patches oder Updates anzuwenden, um ihre Systeme vor potenziellen Angriffen zu schützen. Die Schwachstellen betreffen eine breite Palette von Produkten, darunter WordPress-Plugins, Webanwendungen und Netzwerkgeräte, was die Bedeutung regelmäßiger Sicherheitsupdates und Patches unterstreicht. Insgesamt stellen die entdeckten Schwachstellen erhebliche Risiken für die Sicherheit und Integrität der betroffenen Systeme dar, und es sind umgehende Maßnahmen erforderlich, um die Bedrohungen zu mindern.
Vulnerability Summary for the Week of June 23, 2025 cisa.gov
RSS Hunter RSS Hunter • 30. Juni 2025

Zusammenfassung der Schwachstellen für die Woche vom 16. Juni 2025

Es wurden multiple Schwachstellen in verschiedenen Software-Produkten entdeckt, darunter Elite Video Player, Virtual Moderator, PostaPanduri, WP Front User Submit / Front Editor und andere. Diese Schwachstellen umfassen Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), SQL-Injection und willkürliche Dateiuploads. Die betroffenen Produkte und Versionen sind aufgeführt, zusammen mit den Veröffentlichungsdaten und CVSS-Bewertungen. Die Schwachstellen können von Angreifern ausgenutzt werden, um schädliche Skripte einzuschleusen, sensible Daten zu stehlen oder die Kontrolle über betroffene Systeme zu erlangen. In einigen Fällen können die Schwachstellen remote ausgenutzt werden, während in anderen Fällen eine Authentifizierung erforderlich ist. Die Ausnutzungsmethoden wurden öffentlich bekannt gemacht und können von Angreifern genutzt werden. Patches und Updates wurden veröffentlicht, um einige der Schwachstellen zu beheben, während andere noch nicht gepatcht wurden. Benutzer werden gebeten, ihre Software zu aktualisieren und erforderliche Vorsichtsmaßnahmen zu ergreifen, um die Ausnutzung zu verhindern. Die Schwachstellen wurden mit CVE-IDs versehen und nach ihrer Schwere bewertet. Die betroffenen Produkte und Anbieter sind aufgeführt, zusammen mit den Details der Schwachstellen und ihrem potenziellen Auswirkungen.
Vulnerability Summary for the Week of June 16, 2025 cisa.gov
RSS Hunter RSS Hunter • 23. Juni 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 9. Juni 2025

Acer ControlCenter weist eine Ferncode-Ausführung-Schwachstelle aufgrund einer fehlerhaften Windows-Namenspipe auf, die es Fernangreifern ermöglicht, beliebigen Code mit erhöhten Privilegien auszuführen. Adobe Acrobat Reader weist mehrere Schwachstellen auf, einschließlich Use-after-Free- und Out-of-Bounds-Schreib-Schwachstellen, die zu einer beliebigen Code-Ausführung im Kontext des aktuellen Benutzers führen können. Adobe Commerce weist mehrere Schwachstellen auf, einschließlich gespeicherter Cross-Site-Scripting- und fehlerhafter Autorisierung, die zu einer Umgehung von Sicherheitsfunktionen und einer Privilegien-Eskalation führen können. Adobe Experience Manager weist reflektierte Cross-Site-Scripting- und fehlerhafte Autorisierungsschwachstellen auf, die zu einer Sitzung Übernahme führen können. Adobe InCopy und InDesign Desktop weisen mehrere Schwachstellen auf, einschließlich Integer-Überlauf-, Heap-basierte Puffer-Überlauf- und Use-after-Free-Schwachstellen, die zu einer beliebigen Code-Ausführung im Kontext des aktuellen Benutzers führen können. Adobe Substance3D - Painter und Sampler weisen Out-of-Bounds-Schreib-Schwachstellen auf, die zu einer beliebigen Code-Ausführung im Kontext des aktuellen Benutzers führen können. Alex Zaytseff Multi CryptoCurrency Payments weist eine SQL-Injektion-Schwachstelle auf, die SQL-Injektion ermöglicht. Amazon Cloud Cam weist eine Paarungsstatus-Schwachstelle auf, die Netzwerk-Verkehr-Aufzeichnung und -Änderung ermöglicht. AMD EPYC 7002 Series Prozessoren weisen eine fehlerhafte Registrierzugriffssteuerung-Schwachstelle auf, die es privilegierten Angreifern ermöglicht, unbefugten Zugriff auf ASP's Crypto-Co-Prozessor-Register zu erhalten.
Vulnerability Summary for the Week of June 9, 2025 cisa.gov
RSS Hunter RSS Hunter • 16. Juni 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 2. Juni 2025

In verschiedenen Produkten wurden mehrere Schwachstellen entdeckt, darunter ABC Courier Management System, Online Notice Board, EIBPORT V3 KNX und andere. Diese Schwachstellen reichen von kritischer bis hoher Schwere und können remote ausgenutzt werden. Einige der Schwachstellen umfassen SQL-Injection, Cross-Site-Request-Forgery und Deserialisierung nicht vertrauenswürdiger Daten. Andere beinhalten eine unsachgemäße Neutralisierung spezieller Elemente oder eine unsachgemäße Kontrolle des Dateinamens für Include/Require-Anweisungen. Die Schwachstellen betreffen verschiedene Produkte, darunter WordPress-Plugins, Desktop-Anwendungen und Online-Managementsysteme. Die CVSS-Bewertungen reichen von 7,1 bis 9,8, was auf eine hohe bis kritische Schwere hinweist. Die Schwachstellen wurden öffentlich bekannt gegeben und können genutzt werden, während andere in den letzten Updates behoben wurden. Benutzern wird empfohlen, auf die neuesten Versionen zu aktualisieren, um die Probleme zu beheben. Die Schwachstellen können zu unbefugtem Zugriff, Ausführung von beliebigem Code und Offenlegung sensibler Daten führen.
Vulnerability Summary for the Week of June 2, 2025 cisa.gov
RSS Hunter RSS Hunter • 9. Juni 2025

Zusammenfassung der Schwachstellen für die Woche vom 26. Mai 2025

Es wurden multiple Schwachstellen in verschiedenen Produkten entdeckt, darunter dem 1000 Projects Daily College Class Work Report Book, argoproj, Avast Business Antivirus und Best Practical RT. Diese Schwachstellen können zu SQL-Injektionen, Cross-Site-Scripting und willkürlichen Aktionen im Namen von Opfern führen. Einige dieser Schwachstellen wurden in neueren Versionen behoben, während andere weiterhin unbehoben bleiben. Die Schwachstellen wurden mit CVSS-Werten zwischen 7,2 und 9,8 bewertet, was eine hohe bis kritische Schwere anzeigt. Die betroffenen Produkte umfassen Avast Business Antivirus, Best Practical RT und Consilium Safety CS5000 Fire Panel. Einige dieser Produkte können remote ausgenutzt werden, was Angreifern ermöglicht, willkürliche Aktionen auszuführen, Spoofing oder Manipulation von Update-Dateien und das Lecken von geheimen Zugriffstoken. Die Schwachstellen wurden der Öffentlichkeit bekannt gemacht und können von Angreifern genutzt werden. Patches wurden für einige der Schwachstellen veröffentlicht, während andere Benutzer alternative Maßnahmen ergreifen müssen, um die Risiken zu minimieren.
Vulnerability Summary for the Week of May 26, 2025 cisa.gov
RSS Hunter RSS Hunter • 2. Juni 2025

Zusammenfassung der Schwachstellen für die Woche vom 19. Mai 2025

In verschiedenen Produkten wurden mehrere Sicherheitslücken entdeckt, darunter das MB-Gateway von AutomationDirect, das Hospital Management System und WPAMS von mojoomla, TI WooCommerce Wishlist von TemplateInvaders und andere. Diese Schwachstellen umfassen das uneingeschränkte Hochladen von Dateien mit gefährlichen Typen, die Deserialisierung von nicht vertrauenswürdigen Daten und die unsachgemäße Neutralisierung von Sonderzeichen. Sie können unter anderem zur Remote-Code-Ausführung, zum beliebigen Hochladen von Dateien und zur SQL-Injection führen. Die betroffenen Produkte und Versionen werden zusammen mit den entsprechenden CVE-Nummern und CVSS-Werten aufgeführt. Die CVSS-Werte liegen zwischen 9 und 10, was auf eine hohe bis kritische Schwere hindeutet. Die Schwachstellen wurden zwischen dem 19. und 25. Mai 2025 veröffentlicht. Zu den betroffenen Anbietern gehören AutomationDirect, mojoomla, TemplateInvaders, STAGGS, printcart, Ajar Productions, StoreKeeper B.V., TYPO3, ABB, Canon Inc. und andere. Die Sicherheitslücken betreffen verschiedene Produkte, darunter Webserver, Drucker und WooCommerce-Plugins. Benutzern wird empfohlen, ihre Produkte mit den neuesten Patches zu aktualisieren, um potenzielle Angriffe zu verhindern.
Vulnerability Summary for the Week of May 19, 2025 cisa.gov
RSS Hunter RSS Hunter • 27. Mai 2025

Zusammenfassung der Schwachstellen für den 12. Mai 2025

Mehrere Schwachstellen wurden am 13. und 15. Mai 2025 gemeldet, die verschiedene Softwareprodukte betreffen. Das UiPress Lite-WordPress-Plugin hat eine Schwachstelle für Remote-Code-Ausführung, die es authentifizierten Angreifern ermöglicht, beliebigen Code auszuführen, mit einem CVSS-Score von 8,8. Adobe Connect ist anfällig für Cross-Site-Scripting, was möglicherweise zu einer Übernahme von Sitzungen führen kann, mit einem CVSS-Score von 9,3. Mehrere Adobe-Produkte, darunter Animate, Bridge, Dimension, Dreamweaver, Illustrator, InDesign, Lightroom, Photoshop und Substance3D, haben Schwachstellen, die zu einer willkürlichen Code-Ausführung führen könnten. Diese Adobe-Schwachstellen erfordern oft eine Interaktion des Benutzers, wie das Öffnen einer schädlichen Datei, und haben CVSS-Scores von 7,8. Adobe ColdFusion hat mehrere Schwachstellen, darunter eine unzureichende Eingabevalidierung, eine falsche Autorisierung und eine OS-Kommando-Injektion, die möglicherweise zu einer willkürlichen Code-Ausführung führen können, mit CVSS-Scores von 9,1. Einige ColdFusion-Schwachstellen umfassen auch eine unzureichende Zugriffskontrolle, die zu einer willkürlichen Lesezugriff auf das Dateisystem führen kann. Eine ColdFusion-Schwachstelle erfordert eine Benutzerinteraktion und hat einen CVSS-Score von 8,4. Diese Schwachstellen könnten es Angreifern ermöglichen, Sicherheitsmechanismen zu umgehen oder unbefugten Zugriff auf sensible Daten zu erhalten. Die Ausnutzung dieser Schwachstellen könnte zu einer willkürlichen Code-Ausführung im Kontext des aktuellen Benutzers führen.
Vulnerability Summary for the Week of May 12, 2025 cisa.gov
RSS Hunter RSS Hunter • 19. Mai 2025

Zusammenfassung der Schwachstellen für die Woche vom 5. Mai 2025

Mehrere Schwachstellen wurden in verschiedenen Produkten entdeckt, darunter WordPress-Plugins, Arista Networks' CloudVision Portal, Avira Prime und ATEN's LCD KVM über IP-Switch CL5708IM. Diese Schwachstellen können zu unbefugter Datenmodifizierung, Privilegierungserhöhung und Remote-Code-Ausführung führen. Die betroffenen Produkte umfassen das 1-Click-WordPress-Migrations-Plugin, Avira Prime, Arista CloudVision Portal und ATEN's CL5708IM. Die Schwachstellen wurden mit CVSS-Werten zwischen 7,3 und 10 bewertet, was eine hohe bis kritische Schwere anzeigt. Die Schwachstellen können remote ausgenutzt werden, während andere lokale Zugriffe oder authentifizierte Benutzer erfordern. Die betroffenen Produkte werden in verschiedenen Branchen eingesetzt, darunter Cybersecurity, Netzwerke und E-Commerce. Die Schwachstellen wurden der Öffentlichkeit bekannt gegeben, und Exploits könnten verfügbar sein. Benutzer werden dringend gebeten, ihre Produkte auf die neuesten Versionen zu aktualisieren und Sicherheitspatches anzuwenden, um die Ausnutzung zu verhindern. Die Schwachstellen wurden mit CVE-IDs zugewiesen, darunter CVE-2025-3455, CVE-2024-9524 und CVE-2025-0505.
Vulnerability Summary for the Week of May 5, 2025 cisa.gov
RSS Hunter RSS Hunter • 12. Mai 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 28. April 2025

In verschiedenen Software- und Systemen wurden mehrere kritische Sicherheitslücken identifiziert. Novel-Plus ist anfällig für fehlende Authentifizierung in seiner genCode-Funktion. Das WordPress-Plugin Page View Count ermöglicht unbefugte Datenänderungen, die zu einem Denial-of-Service führen. ABB ANC- und Automation Builder-Produkte sind von Schwachstellen in Bezug auf die Modifikation von angenommenerweise unveränderlichen Daten (Modification of Assumed-Immutable Data) und falscher Berechtigungszuweisung (Incorrect Permission Assignment) betroffen. Das ctrlX OS von Bosch Rexroth enthält Schwachstellen in seiner Webanwendung, die die Ausführung von Remote-Befehlen und die Manipulation von Dateien ermöglichen. Das SureTriggers-Plugin weist eine falsche Berechtigungszuweisungsschwachstelle auf, die eine Privilegienerweiterung ermöglicht. Mehrere itsourcecode-Produkte, darunter Gym, Placement und Restaurant Management Systems, sind anfällig für SQL-Injection. SOLIDWORKS eDrawings enthält Out-Of-Bounds-Write- und Use-After-Free-Schwachstellen, die die Ausführung von beliebigem Code ermöglichen könnten. Dell PowerProtect Data Manager leidet unter der fehlerhaften Verwendung privilegierter APIs, was potenziell zu einer Privilegienerweiterung führen kann. Delta Electronics ISPSoft ist anfällig für Stack-basierte Pufferüberläufe und Out-of-Bounds-Write-Schwachstellen. Schließlich weist Agentflow eine Schwachstelle zum Umgehen der Kontosperre auf, und Honeywell MB-Secure ist von einer OS Command Injection-Schwachstelle betroffen.
Vulnerability Summary for the Week of April 28, 2025 cisa.gov
RSS Hunter RSS Hunter • 5. Mai 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 21. April 2025

Die Programmiersprache Adept von AdeptLanguage wies eine Schwachstelle in der Workflow-Datei remoteBuild.yml auf, die es Angreifern ermöglichte, ein GitHub-Token zu extrahieren und bösartigen Code einzuschleusen oder Release-Commits zu überschreiben. Das Problem wurde im Commit a1a41b behoben. Aeropage Sync für Airtable hatte eine Schwachstelle, die es authentifizierten Angreifern ermöglichte, beliebige Dateien hochzuladen, was potenziell zu Remote Code Execution führen konnte. Die Net.Time - PTP/NTP Clock Software von ALBEDO Telecom hatte eine unzureichende Session-Expiration-Schwachstelle, die es Angreifern ermöglichen könnte, Passwörter über unverschlüsselte Verbindungen zu übertragen.Amazon's IonDotnet wies eine Denial-of-Service-Schwachstelle aufgrund einer Endlosschleifenbedingung beim Lesen von binären Ion-Daten auf. Das Problem wurde in Version 1.3.1 behoben. Aonethemes Service Finder Bookings Plugin für WordPress hatte eine Privilege-Escalation-Schwachstelle, die es nicht authentifizierten Angreifern ermöglichte, ein Konto mit einer beliebigen Rolle, einschließlich Administrator, zu registrieren. Arkenons Frontend Login and Registration Blocks Plugin für WordPress hatte eine Privilege-Escalation-Schwachstelle, die es authentifizierten Angreifern ermöglichte, beliebige Benutzerpasswörter zu ändern.Artbees' Jupiter X Core Plugin für WordPress hatte eine PHP Object Injection Schwachstelle, die es Angreifern ermöglichte, ein PHP-Objekt über eine PHAR-Datei einzuschleusen. Ashraful Sarkar Naiems License For Envato hatte eine PHP Remote File Inclusion Schwachstelle, die PHP Local File Inclusion ermöglichte. Cajkas Verification SMS with TargetSMS Plugin für WordPress hatte eine eingeschränkte Remote Code Execution Schwachstelle, die es nicht authentifizierten Angreifern ermöglichte, eine beliebige auf der Seite aufrufbare Funktion auszuführen.
Vulnerability Summary for the Week of April 21, 2025 cisa.gov
RSS Hunter RSS Hunter • 28. Apr. 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 14. April 2025

Im April 2025 wurden mehrere Schwachstellen bei verschiedenen Anbietern und Produkten gemeldet. Apple macOS wies ein Problem mit Speicherbeschädigung auf, das potenziell zur Codeausführung über manipulierte Audiodateien führen konnte. Das WordPress-Plugin „Smart Product Review“ war anfällig für das Hochladen beliebiger Dateien, was eine Remote-Code-Ausführung ermöglichte. Mehrere Schwachstellen im Linux-Kernel im Zusammenhang mit „Use-after-free“-Fehlern wurden behoben. EPC AI Hub, JoomSky JS Job Manager und mehrere andere Produkte wiesen Schwachstellen beim Hochladen unbeschränkter Dateien auf, die oft das Hochladen von Webshells und die Remote-Code-Ausführung ermöglichten. Erlang/OTP hatte einen SSH-Serverfehler, der eine nicht authentifizierte Remote-Code-Ausführung ermöglichte. Seclore hatte eine Schwachstelle bei der Umgehung der Authentifizierung, während Wallos Probleme beim Hochladen von Dateien in Backup-/Wiederherstellungsfunktionen aufwies. Hitachi Vantara Pentaho Data Integration & Analytics hatte eine JNDI-Injection-Schwachstelle. Mehrere Schwachstellen im Zusammenhang mit SQL-Injection, Pufferüberläufen und unsicheren Standardeinstellungen wurden ebenfalls bei verschiedenen Produkten gemeldet und betrafen Bereiche wie Authentifizierung, Datenmanipulation und Remote-Code-Ausführung.
Vulnerability Summary for the Week of April 14, 2025 cisa.gov
RSS Hunter RSS Hunter • 21. Apr. 2025

Zusammenfassung der Schwachstellen für die Woche vom 7. April 2025

Die aufgeführten Schwachstellen betreffen diverse Software- und Hardwarekomponenten, von Industriegeräten über Webanwendungen bis hin zu Plugins. Mehrere Schwachstellen im SENTRON 7KT PAC1260 Data Manager ermöglichen die Remote-Code-Ausführung. Eine Schwachstelle in der Benutzeroberfläche von Fortinet FortiSwitch erlaubt das Ändern von Passwörtern ohne Authentifizierung. Versionen des Industrial Edge Device Kits weisen eine Schwachstelle zur Umgehung der Authentifizierung auf. Eine Schwachstelle im TOTVS Framework ermöglicht die Umgehung der Mehrfaktor-Authentifizierung. Yii 2 Versionen vor 2.0.52 weisen ein fehlerhaftes Handling von Verhaltensanfügungen auf. Das Simple WP Events Plugin ist anfällig für das beliebige Löschen von Dateien. Ein Mediatek Software Development Kit hat eine Out-of-Bounds-Write-Schwachstelle. Zahlreiche Schwachstellen in RUoYi v.4.8.0 ermöglichen die Rechteerweiterung. Viele weitere Schwachstellen wurden identifiziert, darunter SQL-Injection, unsachgemäße Zugriffskontrollen und Standardpasswortprobleme in verschiedenen Produkten.
Vulnerability Summary for the Week of April 7, 2025 cisa.gov
RSS Hunter RSS Hunter • 14. Apr. 2025

Sicherheitslücken-Zusammenfassung für die Woche vom 31. März 2025

Dieser Text fasst mehrere hochgradig kritische Schwachstellen zusammen, die in verschiedenen Softwareprodukten gefunden wurden. Diese Schwachstellen reichen von Cross-Site Request Forgery (CSRF) und SQL Injection bis hin zu Remote Code Inclusion und Privilege Escalation (Rechteausweitung). Aboobackers AB Google Map Travel und AdminGeekZs Varnish WordPress sind von CSRF betroffen. adamskaats Countdown & Clock hat eine Path Traversal-Schwachstelle, und sein WordPress-Plugin hat ein Local File Inclusion-Problem. Ads by WPQuads ist anfällig für SQL Injection und fehlende Autorisierungsprüfungen. ageerles ruoyi-ai hat unzureichende Autorisierungsprobleme, die remote ausgenutzt werden können. aitools Content Writing Assistant ist anfällig für Blind SQL Injection. Aiven-extras hat eine Privilege Escalation-Schwachstelle, die es ermöglicht, Superuser zu werden. Apples macOS und iPadOS weisen mehrere Schwachstellen auf, darunter Sandbox Escapes, Memory Corruption und Privilege Escalation, die in den letzten Updates behoben wurden. AMD Ryzen AI Software hat Integer-Overflow-Probleme und fehlerhafte Standardberechtigungen. Alex Prokopenkos Just Post Preview Widget hat eine PHP Local File Inclusion-Schwachstelle, und Angelo Mandatos Blubrry PowerPress-Plugin hat ein Cross-Site Scripting-Problem.
Vulnerability Summary for the Week of March 31, 2025 cisa.gov
RSS Hunter RSS Hunter • 7. Apr. 2025

Zusammenfassung der Schwachstellen für die Woche vom 24. März 2025

Es wurden multiple Schwachstellen mit hoher Schweregrad in verschiedenen Produkten entdeckt, darunter Firefox, Fortinet FortiOS, Convivance StandVoice, Red Hat Pagure und anderen. Diese Schwachstellen können zu beliebiger Code-Ausführung, Sandbox-Entkommen, Remote-Befehlsausführung und Privilegien-Eskalation führen. Die betroffenen Produkte umfassen Firefox-Versionen vor 136.0.4, FortiOS-Versionen 7.2.0 bis 7.2.3 und Pagure. Die Schwachstellen wurden im März 2025 entdeckt und haben CVE-IDs erhalten. Die CVSS-Bewertungen für diese Schwachstellen reichen von 9,0 bis 10,0, was einen hohen Schweregrad anzeigt. Die Schwachstellen können von entfernten Angreifern ausgenutzt werden, und einige erfordern keine Authentifizierung oder Privilegien. Die betroffenen Produkte werden in verschiedenen Branchen eingesetzt, darunter Technologie, Finanzen und Gesundheitswesen. Benutzer werden dringend gebeten, auf die neuesten Versionen der betroffenen Produkte upzudaten, um diese Schwachstellen zu beheben. Ein Versäumnis kann zu einem vollständigen System-Kompromiss, Datenverletzungen und anderen schwerwiegenden Folgen führen.
Vulnerability Summary for the Week of March 24, 2025 cisa.gov
RSS Hunter RSS Hunter • 31. März 2025

Zusammenfassung der Schwachstellen für die Woche vom 17. März 2025

Der Text enthält eine Zusammenstellung von Schwachstellen mit hoher Schweregrad in verschiedenen Software-Produkten von verschiedenen Anbietern. Diese Schwachstellen umfassen Fehler bei der Code-Ausführung, SQL-Injection, Privilegien-Eskalation und Authentifizierungs-Umgehung. Mehrere Synology-Produkte, einschließlich Unified Controller, DiskStation Manager und Kamera-Firmware, sind von Schwachstellen betroffen, die Ferncode-Ausführung ermöglichen. IBM-AIX-Systeme haben Schwachstellen im Zusammenhang mit Befehlsausführung und SSL/TLS. Mehrere WordPress-Plugins und -Themes, wie Altair, CozyStay, Service Finder Bookings und MinimogWP, sind anfällig für verschiedene Angriffe. D-Link-DAP-1620-Router leiden unter kritischen Pufferüberlauf-Schwachstellen. Andere betroffene Produkte umfassen Fortinet FortiMail, CM News und MB connect line mbCONNECT24. Darüber hinaus gibt es Schwachstellen in Esri ArcGIS, Microsoft Partner Center und mehreren anderen Software-Paketen. Die gemeldeten Schwachstellen haben hohe CVSS-Werte, was bedeutet, dass sie ein erhebliches Risiko darstellen. Die veröffentlichten Informationen basieren auf veröffentlichten CVE-Einträgen.
Vulnerability Summary for the Week of March 17, 2025 cisa.gov
RSS Hunter RSS Hunter • 24. März 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 10. März 2025

Mehrere Schwachstellen wurden in verschiedenen Produkten entdeckt, darunter 1E Client, springboot-openai-chatgpt, a2rocklobster FTP Sync, Adobe Acrobat Reader, Adobe Illustrator, Adobe InDesign Desktop, Adobe Substance3D - Designer, Adobe Substance3D - Modeler, Adobe Substance3D - Painter und Adobe Substance3D - Sampler. Zu diesen Schwachstellen gehören unsachgemäße Linkauflösung, unzureichende Autorisierung, fest codierte Anmeldeinformationen, Cross-Site Request Forgery (CSRF), Zugriff auf nicht initialisierte Pointer, Use-after-Free, Lese- und Schreibzugriffe außerhalb der Grenzen (Out-of-bounds read and write), Stack-basierte Pufferüberläufe, Heap-basierte Pufferüberläufe und unsichere Suchpfade. Die CVSS-Scores für diese Schwachstellen reichen von 7,1 bis 7,8 und weisen auf eine hohe Schwere hin. Die Ausnutzung dieser Schwachstellen erfordert oft Benutzerinteraktion, wie das Öffnen einer schädlichen Datei. Die betroffenen Produkte und Versionen sind zusammen mit den entsprechenden CVE-Nummern aufgeführt. Die Anbieter wurden über diese Offenlegungen informiert, einige haben jedoch nicht geantwortet. Die Produkte verwenden Rollende Releases oder keine Versionsnummerierung, was es schwierig macht, betroffene und nicht betroffene Releases zu bestimmen. Die Schwachstellen wurden an verschiedenen Tagen im März 2025 veröffentlicht. Benutzern wird empfohlen, die notwendigen Vorsichtsmaßnahmen zu treffen, um die Ausnutzung dieser Schwachstellen zu verhindern.
Vulnerability Summary for the Week of March 10, 2025 cisa.gov
RSS Hunter RSS Hunter • 17. März 2025

Zusammenfassung der Schwachstellen für die Woche vom 3. März 2025

In verschiedenen Produkten wurden mehrere schwerwiegende Sicherheitslücken entdeckt, darunter Uniguest Tripleplay, Lucee, NotFound Ark Theme Core und andere. Diese Schwachstellen umfassen unter anderem Remote Code Execution, Privilege Escalation, SQL Injection und PHP Object Injection. Viele dieser Schwachstellen haben einen CVSS-Score von 9,8 oder höher, was auf ein hohes Maß an Schweregrad hindeutet. Zu den betroffenen Produkten gehören WordPress-Themes und -Plugins, Java-basierte Webanwendungen und Netzwerkgeräte. In einigen Fällen können die Schwachstellen von nicht authentifizierten Angreifern ausgenutzt werden, in anderen ist eine Authentifizierung erforderlich. Die Schwachstellen können zu beliebiger Codeausführung, Privilege Escalation und Datenmanipulation führen. Patches und Updates wurden veröffentlicht, um diese Schwachstellen zu beheben, und Benutzer werden aufgefordert, diese so schnell wie möglich anzuwenden. Andernfalls kann dies schwerwiegende Sicherheitsfolgen haben. Zu den betroffenen Anbietern gehören Uniguest, Lucee, NotFound, Fave Themes, Boceksoft Informatics und viele andere. Die Schwachstellen wurden im März 2025 entdeckt, und Benutzer werden dringend aufgefordert, sofort Maßnahmen zu ergreifen, um ihre Systeme zu schützen.
Vulnerability Summary for the Week of March 3, 2025 cisa.gov
RSS Hunter RSS Hunter • 10. März 2025

Zusammenfassung der Schwachstellen für die Woche vom 24. Februar 2025

"Es wurden mehrere Schwachstellen in verschiedenen Produkten entdeckt, darunter jupyterhub-ltiauthenticator, MITRE Caldera, das WordPress-Theme "Nokri Job Board" von scriptsbundle, die Yukseloglu Filter B2B Login Platform, Infoblox NIOS, XIQ-SE, Draytek-Geräte, Mautic, Vigor-Geräte, NovaCHRON Zeitsysteme GmbH & Co. KG Smart Time Plus, XOne Web Monitor, Public Knowledge Project, yi_car_dashcam_firmware, DHVC Form, WooCommerce Ultimate Gift Card, WHMpress - WHMCS WordPress Integration Plugin, IBM Storage Virtualize, everest_forms, SetSail Membership, Alloggio Membership, Academist Membership, CIGES und Mattermost.Diese Schwachstellen umfassen kritische Probleme wie Remote Code Execution (Remotecodeausführung), SQL-Injection, Privilege Escalation (Privilegienerweiterung), Authentication Bypass (Authentifizierungs-Umgehung) und Arbitrary File Upload, Read und Deletion (beliebiges Hochladen, Lesen und Löschen von Dateien).Die betroffenen Produkte und Versionen sind zusammen mit den entsprechenden CVE-Nummern und CVSS-Scores aufgeführt.Die Schwachstellen wurden zwischen dem 24. Februar 2025 und dem 1. März 2025 entdeckt und gemeldet.Benutzern dieser Produkte wird empfohlen, auf die neuesten Versionen zu aktualisieren oder Patches anzuwenden, um die Risiken zu mindern.In einigen Fällen sind keine Workarounds verfügbar, und Benutzer müssen auf eine behobene Version aktualisieren, um eine Ausnutzung zu verhindern.Die Schwachstellen können von Remote-Angreifern ausgenutzt werden, und einige erfordern Authentifizierung oder das Erfüllen bestimmter Bedingungen.Die Auswirkungen dieser Schwachstellen können schwerwiegend sein, einschließlich Remotecodeausführung, Datenschutzverletzungen und Website-Übernahmen.Benutzer werden dringend aufgefordert, sofort Maßnahmen zu ergreifen, um diese Schwachstellen zu beheben und ihre Systeme und Daten zu schützen.Die vollständige Liste der betroffenen Produkte und Details finden Sie im Originaltext."
Vulnerability Summary for the Week of February 24, 2025 cisa.gov
RSS Hunter RSS Hunter • 3. März 2025

Zusammenfassung der Schwachstellen für die Woche vom 17. Februar 2025

Es wurden multiple Schwachstellen in verschiedenen Produkten entdeckt, darunter WordPress-Plugins, Firmware und Software. Das a1post A1POST.BG Shipping für Woo-Plugin hat eine Schwachstelle für Cross-Site-Request-Forgery, die eine Privilegien-Eskalation ermöglicht. Das WPMobile.App-Plugin hat eine Schwachstelle für Offene Umleitung, die Benutzer auf böswillige Seiten umleiten kann. Das Option Editor-Plugin hat eine Schwachstelle für Cross-Site-Request-Forgery, die das Aktualisieren beliebiger Optionen auf einer WordPress-Website ermöglicht. Das Baiyi Cloud Asset Management System hat multiple SQL-Injection-Schwachstellen, die remote ausgenutzt werden können. Das BDCOM Behavior Management and Auditing System hat eine Schwachstelle für OS-Befehlsinjektion, die remote ausgelöst werden kann. Das CarSpot - Dealership WordPress Classified Theme hat eine Schwachstelle für Privilegien-Eskalation, die einen Account-Übernahme ermöglicht. Das binance-trading-bot hat eine Schwachstelle für Befehlsinjektion, die remote Code-Ausführung ermöglicht. ChurchCRM hat eine zeitbasierte blinde SQL-Injection-Schwachstelle, die beliebige SQL-Abfragen ermöglicht. Mehrere andere Produkte, darunter Dell Client Platform BIOS, Dell NetWorker Management Console und denx U-Boot, haben Schwachstellen, die ausgenutzt werden können, um erhöhte Privilegien zu erlangen oder beliebigen Code auszuführen.
Vulnerability Summary for the Week of February 17, 2025 cisa.gov
RSS Hunter RSS Hunter • 24. Feb. 2025

Zusammenfassung der Schwachstellen für die Woche vom 10. Februar 2025

Ein Schwachpunkt in ABBs System 800xA ermöglicht es einem Angreifer, Video-Feeds anzuhalten oder zu manipulieren, und betrifft Versionen 5.1.X, 6.0.3.X, 6.1.1.X und 6.2.X. AcyMailing SMTP Newsletter ist anfällig für reflektierte XSS-Angriffe und betrifft alle Versionen. Adobe Commerce-Versionen 2.4.7-beta1, 2.4.7-p3, 2.4.6-p8, 2.4.5-p10 und 2.4.4-p11 sind von mehreren Schwachstellen betroffen, darunter unzureichende Autorisierung, gespeicherte XSS und unzureichende Zugriffskontrolle. Diese Schwachstellen können zu Privilegien-Eskalation, Umgehung von Sicherheitsfunktionen und Übernahme von Sitzungen führen. Adobe Commerce ist auch von einer Schwachstelle betroffen, die eine unzureichende Begrenzung von Pfadnamen auf ein eingeschränktes Verzeichnis ermöglicht, was zu einer Umgehung von Sicherheitsfunktionen führen kann. Adobe Illustrator-Versionen 29.1, 28.7.3 und frühere sind von Schwachstellen betroffen, darunter Use After Free, Integer-Unterlauf und Stapel-basierte Pufferüberlauf, die willkürlichen Code-Ausführungen ermöglichen. Adobe InCopy und InDesign Desktop sind auch von mehreren Schwachstellen betroffen, darunter out-of-bounds-Schreibzugriff, Heap-basierte Pufferüberlauf und Integer-Unterlauf, die willkürlichen Code-Ausführungen ermöglichen. Adobe Substance3D - Designer-Versionen 14.0.2 und frühere sind von einer out-of-bounds-Schreibschwachstelle betroffen, die willkürlichen Code-Ausführungen ermöglicht. advplyr's audiobookshelf ist von einer Authentifizierungs-Umgehungsschwachstelle betroffen, die zu Informations-Offenlegung und Dienstverweigerung führen kann.
Vulnerability Summary for the Week of February 10, 2025 cisa.gov
RSS Hunter RSS Hunter • 18. Feb. 2025

Zusammenfassung der Schwachstellen für die Woche vom 3. Februar 2025

Mehrere Schwachstellen mit hoher Verwundbarkeit wurden in verschiedenen Produkten identifiziert, darunter .TUBE gTLD, 2N Access Commander, ABB ASPECT-Enterprise, Advantive VeraCore und anderen. Diese Schwachstellen umfassen Cross-Site-Scripting, Man-in-the-Middle-Angriffe, die Verwendung von hartcodierten Anmeldeinformationen und eine unzureichende Signaturüberprüfung. Die betroffenen Produkte und Versionen sind aufgelistet, zusammen mit ihren entsprechenden CVE-Nummern und CVSS-Scores. Die Schwachstellen können ausgenutzt werden, um unbefugten Zugriff zu erlangen, willkürlichen Code auszuführen und Denial-of-Service-Zustände herbeizuführen. In einigen Fällen können Angreifer diese Schwachstellen ausnutzen, um Privilegien zu eskalieren, schädliche Dateien hochzuladen und Remote-Code-Execution durchzuführen. Die betroffenen Hersteller haben Patches und Updates veröffentlicht, um diese Schwachstellen zu beheben. Benutzer werden dazu geraten, auf die neuesten Versionen zu aktualisieren, um diese Risiken zu minimieren. Die CVSS-Scores reichen von 7,1 bis 9,9, was auf hohe bis kritische Schweregrade hinweist. Die Schwachstellen wurden zwischen dem 3. und 8. Februar 2025 veröffentlicht. Benutzer sollten sofort handeln, um diese Schwachstellen zu beheben und ihre Systeme vor möglichen Angriffen zu schützen.
Vulnerability Summary for the Week of February 3, 2025 cisa.gov
RSS Hunter RSS Hunter • 10. Feb. 2025

Zusammenfassung der Sicherheitslücken für die Woche vom 27. Januar 2025

Es wurden mehrere Schwachstellen in verschiedenen Produkten entdeckt, darunter 0xPolygonZero's plonky2, 1000 Projects' Employee Task Management System, aakashbhagat's single_user_chat, ABB's FLXEON, Acronis' Cyber Protect Cloud Agent und Akamai's Enterprise Application Access. Diese Schwachstellen können zu Problemen wie SQL-Injection, unbefugter Datenmodifikation, beliebiger Codeausführung und Dienstverweigerung führen. Einige dieser Schwachstellen wurden in aktuellen Updates behoben, darunter plonky2 Version 1.0.1 und Acronis Cyber Protect Cloud Agent Build 39378. Andere betroffene Produkte umfassen Alpine's Halo9, AlgolPlus' Advanced Dynamic Pricing for WooCommerce und Alessandro Piconi's Internal Link Builder. Apple hat auch Patches für mehrere Schwachstellen in seinen Produkten veröffentlicht, darunter iOS, iPadOS, macOS, watchOS und tvOS. Diese Schwachstellen können zu Problemen wie Fingerprinting, Korruption des Coprozessor-Speichers und Erhöhung von Privilegien führen. Apple hat diese Probleme durch verbesserte Grenzprüfungen, Speicherverwaltung und Eingabevaluierung behoben. Benutzer werden gebeten, ihre Produkte auf die neuesten Versionen zu aktualisieren, um potenzielle Angriffe zu vermeiden.
Vulnerability Summary for the Week of January 27, 2025 cisa.gov
RSS Hunter RSS Hunter • 3. Feb. 2025

Zusammenfassung der Schwachstellen für die Woche vom 20. Januar 2025

Es wurden mehrere Schwachstellen in verschiedenen Software-Produkten entdeckt, darunter aEnrich Technologys a+HRD, aipowers AI Power-Plugin und der Apache Software Foundation's Apache Ambari. Diese Schwachstellen umfassen SQL-Injection, unsichere Deserialisierung und Cross-Site-Scripting- (XSS-) Schwachstellen. a+HRD hat eine SQL-Injection-Schwachstelle, die es unauthentifizierten Fernangreifern ermöglicht, beliebige SQL-Befehle einzuschieben. Das AI Power-Plugin hat eine PHP-Objekt-Injektion-Schwachstelle, die es authentifizierten Angreifern ermöglicht, ein PHP-Objekt einzuschieben. Apache Ambari hat mehrere Schwachstellen, darunter eine Ferncode-Injektion-Schwachstelle und eine XML-externer-Entität- (XXE-) Schwachstelle. Andere betroffene Produkte umfassen AlaFalakis a Gateway für Pasargad Bank, Alessandro Benoits WpDevTool und Andrea Dottas Social2Blog. Diese Schwachstellen können von Angreifern ausgenutzt werden, um beliebigen Code auszuführen, böswillige Skripte einzuschieben oder sensible Daten zu stehlen. Die Common Vulnerability Scoring System (CVSS)-Bewertungen für diese Schwachstellen reichen von 7,1 bis 10, was auf ein hohes Schweregrad anzeigt. Die betroffenen Produkte und Versionen sind aufgeführt, zusammen mit den entsprechenden CVE-Nummern und Veröffentlichungsdaten. Benutzer werden gebeten, ihre Software auf die neuesten Versionen zu aktualisieren, um diese Schwachstellen zu patchen und potenzielle Angriffe zu verhindern.
Vulnerability Summary for the Week of January 20, 2025 cisa.gov
RSS Hunter RSS Hunter • 26. Jan. 2025

Zusammenfassung der Schwachstellen für die Woche vom 13. Januar 2025

Es wurden mehrere Schwachstellen in verschiedenen Produkten entdeckt, darunter das Kampagnen-Management-System-Plattform für Frauen von 1000 Projects, Adobe Illustrator und Substance3D Stager sowie anderen. Diese Schwachstellen umfassen SQL-Injection, Integer-Underflow, stackbasierte Buffer-Überläufe und out-of-bounds-Schreibschwachstellen, unter anderem. Die Ausnutzung dieser Probleme kann zu beliebiger Code-Ausführung, Dienstverweigerung oder anderen Sicherheitsfolgen führen. Viele dieser Schwachstellen erfordern eine Benutzerinteraktion, wie das Öffnen einer bösartigen Datei, um ausgenutzt zu werden. Andere können ohne Benutzerinteraktion remote ausgenutzt werden. Den Schwachstellen wurden verschiedene CVSS-Bewertungen zwischen 7,1 und 9,1 zugewiesen, die ihre Schweregrad anzeigen. Die betroffenen Produkte und Versionen sind aufgeführt, zusammen mit den Daten, an denen die Schwachstellen veröffentlicht wurden. Einige der Schwachstellen wurden durch verbessertes Zustandsmanagement, Speicherverwaltung und andere Sicherheitsmaßnahmen behoben. Benutzer werden gebeten, ihre Produkte auf die neuesten Versionen zu aktualisieren, um diese Schwachstellen zu minimieren. Ein Versäumnis, dies zu tun, kann zu erfolgreicher Ausnutzung durch Angreifer führen.
Vulnerability Summary for the Week of January 13, 2025 cisa.gov
RSS Hunter RSS Hunter • 21. Jan. 2025

Zusammenfassung der Schwachstellen für die Woche vom 4. November 2024

Mehrere Schwachstellen wurden in verschiedenen Softwareprodukten entdeckt, darunter das Beauty Parlour Management System und das Bookstore Management System von 1000 Projects, Access Commander von 2N, Aero von 63moons und anderen. Diese Schwachstellen reichen von SQL-Injektionen und Cross-Site-Scripting (XSS) bis hin zu Pfad-Traversierung und Privilegien-Eskalation. Die betroffenen Produkte umfassen Management-Systeme, Zugangskontrollsysteme und Softwareanwendungen. Die Schwachstellen können remote ausgenutzt werden, sodass Angreifer schädlichen Code einfügen, Authentifizierungen umgehen oder Privilegien eskalieren können. Einige der Schwachstellen haben hohe CVSS-Scores erhalten, was auf ein hohes Schweregrad hinweist. Die betroffenen Produkte werden in verschiedenen Branchen eingesetzt, darunter Gesundheitswesen, Bildung und Finanzen. Benutzer werden dazu geraten, auf die neuesten Versionen der betroffenen Produkte zu aktualisieren, um die Schwachstellen zu beheben. In einigen Fällen können die Schwachstellen von Angreifern mit niedrigen Privilegien ausgenutzt werden, was sie für schädliche Akteure zugänglicher macht. Die Schwachstellen wurden von verschiedenen Forschern entdeckt und der Öffentlichkeit zugänglich gemacht. Benutzer werden dazu aufgerufen, sofortige Maßnahmen zu ergreifen, um die Schwachstellen zu patchen und mögliche Angriffe zu verhindern.
Vulnerability Summary for the Week of November 4, 2024 cisa.gov
RSS Hunter RSS Hunter • 12. Nov. 2024

Zusammenfassung der Schwachstellen für die Woche vom 28. Oktober 2024

Mehrere Schwachstellen wurden in verschiedenen Software-Produkten identifiziert, darunter Apples iOS, iPadOS, macOS und visionOS sowie Autodesks AutoCAD und andere Anwendungen von Drittanbietern. Diese Schwachstellen reichen von Authentifizierungs-Umgehungen und unbegrenzten Datei-Uploads bis hin zur Deserialisierung unvertrauenswürdiger Daten, Nutzung nach Freigabe-Problemen und Pfad-Lösch-Schwachstellen. Die Bewertungen des Common Vulnerability Scoring System (CVSS) für diese Schwachstellen variieren, wobei einige bis zu 10 erreichen, was einen kritischen Schweregrad anzeigt.Die betroffenen Apple-Produkte wurden in aktuellen Updates behoben, darunter iOS 18.1, iPadOS 18.1, macOS Ventura 13.7.1 und macOS Sonoma 14.7.1. Autodesk hat auch Patches für die identifizierten Schwachstellen in AutoCAD veröffentlicht. Benutzer werden gebeten, ihre Software auf die neuesten Versionen zu aktualisieren, um diese Schwachstellen zu minimieren.Neben Apple und Autodesk sind auch andere Anbieter betroffen, darunter acnoo, adirectory, Ajar Productions, Amin Omer, amu02aftab, Andy Moyle und die Apache Software Foundation. Die identifizierten Schwachstellen in diesen Produkten umfassen Authentifizierungs-Umgehungen, unbegrenzte Datei-Uploads und willkürliche Shortcode-Ausführung.Die CVSS-Bewertungen für diese Schwachstellen reichen von 7,1 bis 10, was einen moderaten bis kritischen Schweregrad anzeigt. Benutzer werden gebeten, ihre Software auf die neuesten Versionen zu aktualisieren und beste Praktiken anzuwenden, um diese Schwachstellen zu minimieren.
Vulnerability Summary for the Week of October 28, 2024 cisa.gov
RSS Hunter RSS Hunter • 4. Nov. 2024

Zusammenfassung der Schwachstellen für die Woche vom 21. Oktober 2024

Mehrere hohe Schwachstellen wurden in verschiedenen Produkten gemeldet, darunter Admin Verbalize WP, advancedcoding Comments wpDiscuz, Alexander De Ridder INK Official, Amazon ApplicationLoadBalancer Identity AspNetCore Middleware und Amazon AWS ALB Route Directive Adapter For Istio. Zu diesen Schwachstellen zählen das uneingeschränkte Hochladen von Dateien mit gefährlichem Typ, das Umgehen der Authentifizierung und die unzureichende Validierung von Benutzereingaben. Das Admin Verbalize WP-Plugin für WordPress hat eine Schwachstelle, die es einem Angreifer ermöglicht, eine Web-Shell auf einen Webserver hochzuladen, während das advancedcoding Comments wpDiscuz-Plugin eine Schwachstelle zur Umgehung der Authentifizierung aufweist, die es einem Angreifer ermöglicht, sich als jeder vorhandene Benutzer anzumelden. Das Plugin Alexander De Ridder INK Official ermöglicht auch das uneingeschränkte Hochladen von Dateien mit einer gefährlichen Schwachstelle.Amazon ApplicationLoadBalancer Identity AspNetCore Middleware und Amazon AWS ALB Route Directive Adapter für Istio weisen Schwachstellen auf, die es einem Angreifer ermöglichen, OIDC-verbundene Sitzungen zu fälschen und die Authentifizierung zu umgehen. Andere Produkte mit gemeldeten Schwachstellen sind appcheap App Builder, baserproject basercms, buddypress BuddyPress und Cisco Adaptive Security Appliance Software. Zu den Schwachstellen in diesen Produkten gehören die Eskalation von Rechten, Cross-Site-Scripting, Verzeichnisdurchquerung und Denial-of-Service-Bedingungen. Es ist wichtig, diese Schwachstellen zu beheben, um mögliche Angriffe zu verhindern und die Sicherheit der betroffenen Systeme zu gewährleisten.
Vulnerability Summary for the Week of October 21, 2024 cisa.gov
RSS Hunter RSS Hunter • 28. Okt. 2024

Schwachstellenübersicht für die Woche vom 14. Oktober 2024

- Die Social Link Groups von Acespritech Solutions Pvt. Ltd. haben eine SQL-Injection-Sicherheitslücke, die Blind SQL Injection ermöglicht und sich auf die Versionen von n/a bis 1.1.0 auswirkt. - Apache CloudStack hat eine Sicherheitslücke, bei der neue ConfigSets, die über einen Wiederherstellungsbefehl erstellt wurden, nicht als „vertrauenswürdig“ festgelegt sind, was zum Laden von benutzerdefiniertem Code in Klassenlader führen könnte und die Versionen von 6.6.0 bis vor 8.11.4 und 9.0.0 bis vor 9.7.0 betrifft. - Apache Solr hat eine Sicherheitslücke bei der Authentifizierungsumgehung aufgrund einer fehlerhaften Standardinitialisierung von Ressourcen, die die Versionen von 6.6.0 bis vor 8.11.4 und 9.0.0 bis vor 9.7.0 betrifft. - Apache CloudStack hat eine Sicherheitslücke, bei der Benutzer dazu verleitet werden können, schädliche CSRF-Anfragen zu übermitteln, da die Überprüfung des Ursprungs von Anfragen fehlt und die Versionen von 4.15.1.0 bis 4.18.2.3 und 4.19.0.0 bis 4.19.1.1 betroffen sind. - Das ARI-Adminer-Plugin von Arisoft für WordPress ist anfällig für eine Umgehung der Autorisierung aufgrund fehlender Dateizugriffskontrollen und betrifft die Versionen bis einschließlich 1.1.14. - Der WP Timetics- AI-powered Appointment Booking Calendar and Online Scheduling Plugin for WordPress von Arraytics ist anfällig für Accountübernahme/Rechteausweitung über unsichere direkte Objektverweise und betrifft die Versionen bis einschließlich 1.0.25. - Der Ahime Image Printer von Ahime weist eine Pfadtraversal-Sicherheitslücke auf, die die Versionen von n/a bis 1.0.0 betrifft. - Das Recently-Plugin von Anand23 für WordPress hat eine Sicherheitslücke bei der Umgehung der Authentifizierung, die die Versionen von n/a bis 1.1 betrifft. - Das Better Author Bio-Plugin von Arif Nezami für WordPress weist eine Sicherheitslücke bei Cross-Site Request Forgery (CSRF) auf, die die Versionen von n/a bis 2.7.10.11 betrifft. - Die Plugins APA Register Newsletter Form und Apa Banner Slider von Apa für WordPress haben Sicherheitslücken bei Cross-Site Request Forgery (CSRF), die die Versionen von n/a bis 1.0.0 betreffen.
Vulnerability Summary for the Week of October 14, 2024 cisa.gov
RSS Hunter RSS Hunter • 21. Okt. 2024

Zusammenfassung der Schwachstelle für die Woche vom 7. Oktober 2024

Adobe hat multiple Schwachstellen in verschiedenen Produkten gemeldet, darunter Animate, Commerce, Framemaker, Dimension, InCopy, InDesign Desktop und Substance3D - Stager. Diese Schwachstellen könnten zu beliebiger Code-Ausführung, Privilegien-Eskalation, Cross-Site-Scripting und anderen Sicherheitsproblemen führen. Die Schwachstellen wurden am 9. und 10. Oktober 2024 veröffentlicht und haben einen CVSS-Wert zwischen 7,6 und 9,8.Die Schwachstellen in Animate umfassen Überläufe von Stapel-Puffer, Zugriff auf nicht initialisierte Zeiger, Verwendung nach Freigabe, ganzzahlige Überläufe oder Rundungen und Überläufe von Heap-Puffer. Die Schwachstellen in Commerce umfassen unzureichende Authentifizierung, Cross-Site-Scripting und unzureichende Eingabevalidierung.Framemaker ist von Schwachstellen wie Lesezugriffen außerhalb des gültigen Bereichs, unzuverlässigen Suchpfaden, uneingeschränkter Hochladung von Dateien mit gefährlichen Typen, ganzzahligen Überläufen oder Rundungen und ganzzahligen Unterläufen betroffen. Dimension ist von Schwachstellen wie Verwendung nach Freigabe und Schreibzugriffen außerhalb des gültigen Bereichs betroffen.InCopy und InDesign Desktop sind von Schwachstellen wie uneingeschränkter Hochladung von Dateien mit gefährlichen Typen betroffen. Substance3D - Stager ist von Schwachstellen wie Verwendung nach Freigabe, Überläufen von Heap-Puffer, Schreibzugriffen außerhalb des gültigen Bereichs und Schreibbedingungen betroffen.Benutzer werden gebeten, ihre Software auf die neueste Version zu aktualisieren, um diese Schwachstellen zu beheben. Darüber hinaus ist ein WordPress-Plugin namens WP Post Author anfällig für zeitbasierte SQL-Injektionen, und Benutzer werden gebeten, das Plugin auf die neueste Version zu aktualisieren.
Vulnerability Summary for the Week of October 7, 2024 cisa.gov
RSS Hunter RSS Hunter • 15. Okt. 2024