Flowise AI's Flowise Version 3.0.5 weist eine kritische Schwachstelle für Remote Code Execution auf, bei der Benutzereingaben im CustomMCP-Knoten ohne Validierung als JavaScript ausgeführt werden. Dies ermöglicht den Zugriff auf sensible Node.js-Module und wurde in Version 3.0.6 behoben. HaruThemes WooCommerce Designer Pro, bis Version 1.9.24, leidet unter einer Schwachstelle für uneingeschränkte Datei-Uploads. Iron Mountains enVision-Software weist vor Version 250563 Command Injection auf. TalentSys Consultings Inka.Net hat ebenfalls Command Injection-Probleme vor Version 6.7.1. Das WordPress-Plugin Podlove Podcast Publisher, bis Version 4.2.6, ermöglicht über seine Funktion 'move_as_original_file' beliebige Datei-Uploads. Das WooCommerce Uni CPO (Premium) Plugin, bis Version 4.9.54, weist ähnliche Schwachstellen für beliebige Datei-Uploads auf. Red Hats Nx Build-System-Paket und seine Plugins wurden durch einen Supply-Chain-Angriff kompromittiert, wobei Anmeldedaten gestohlen wurden. Ciscos Adaptive Security Appliance und Threat Defense-Software weisen Schwachstellen auf, die über manipulierte HTTP-Anfragen beliebige Codeausführung ermöglichen. Ciscos IOS, IOS XE und IOS XR-Software weisen ebenfalls Codeausführungsfehler aufgrund fehlerhafter Eingabevalidierung in HTTP-Anfragen auf. Qualcomm Snapdragon-Prozessoren weisen Speicherbeschädigungsschwachstellen bei der Verarbeitung von RTP-Paketen und während der PLMN-Auswahl auf. SolarWinds Web Help Desk weist eine Schwachstelle für nicht authentifizierte Deserialisierungs-RCE auf. Airship AIs Acropolis ist aufgrund eines Standard-Administratorkontos mit statischen Anmeldedaten anfällig. Die Webanwendungsdatenbank von WAGO Device Sphere ist unauthentifiziert zugänglich. Yonisinks Custom Post Type Images WordPress-Plugin weist eine CSRF-Schwachstelle auf, die zu Code-Injection führt. Cloud-gehostetes Flowise erlebte eine übergreifende Datenexposition von Mandanten über den Custom JavaScript Function-Knoten. Das Prompt-Modul der DNN Platform, vor Version 10.1.0, ermöglicht Skriptausführung. Horilla HRMS weist eine gespeicherte XSS-Schwachstelle in seinem Ticket-Kommentar-Editor auf. ADB MCP Server ist in seinen Tool-Definitionen anfällig für Command Injection. Flag Forge CTF weist Probleme bei der Sitzungsinvalidierung auf, die authentifizierten Benutzern nach dem Abmelden weiterhin Zugriff gewähren.