Zusammenfassung der Sicherheitslücken für die Woche vom 21. April 2025
Die Programmiersprache Adept von AdeptLanguage wies eine Schwachstelle in der Workflow-Datei remoteBuild.yml auf, die es Angreifern ermöglichte, ein GitHub-Token zu extrahieren und bösartigen Code einzuschleusen oder Release-Commits zu überschreiben. Das Problem wurde im Commit a1a41b behoben. Aeropage Sync für Airtable hatte eine Schwachstelle, die es authentifizierten Angreifern ermöglichte, beliebige Dateien hochzuladen, was potenziell zu Remote Code Execution führen konnte. Die Net.Time - PTP/NTP Clock Software von ALBEDO Telecom hatte eine unzureichende Session-Expiration-Schwachstelle, die es Angreifern ermöglichen könnte, Passwörter über unverschlüsselte Verbindungen zu übertragen.Amazon's IonDotnet wies eine Denial-of-Service-Schwachstelle aufgrund einer Endlosschleifenbedingung beim Lesen von binären Ion-Daten auf. Das Problem wurde in Version 1.3.1 behoben. Aonethemes Service Finder Bookings Plugin für WordPress hatte eine Privilege-Escalation-Schwachstelle, die es nicht authentifizierten Angreifern ermöglichte, ein Konto mit einer beliebigen Rolle, einschließlich Administrator, zu registrieren. Arkenons Frontend Login and Registration Blocks Plugin für WordPress hatte eine Privilege-Escalation-Schwachstelle, die es authentifizierten Angreifern ermöglichte, beliebige Benutzerpasswörter zu ändern.Artbees' Jupiter X Core Plugin für WordPress hatte eine PHP Object Injection Schwachstelle, die es Angreifern ermöglichte, ein PHP-Objekt über eine PHAR-Datei einzuschleusen. Ashraful Sarkar Naiems License For Envato hatte eine PHP Remote File Inclusion Schwachstelle, die PHP Local File Inclusion ermöglichte. Cajkas Verification SMS with TargetSMS Plugin für WordPress hatte eine eingeschränkte Remote Code Execution Schwachstelle, die es nicht authentifizierten Angreifern ermöglichte, eine beliebige auf der Seite aufrufbare Funktion auszuführen.
remoteBuild.ymlauf, die es Angreifern ermöglichte, ein GitHub-Token zu extrahieren und bösartigen Code einzuschleusen oder Release-Commits zu überschreiben. Das Problem wurde im Commit a1a41b behoben. Aeropage Sync für Airtable hatte eine Schwachstelle, die es authentifizierten Angreifern ermöglichte, beliebige Dateien hochzuladen, was potenziell zu Remote Code Execution führen konnte. Die Net.Time - PTP/NTP Clock Software von ALBEDO Telecom hatte eine unzureichende Session-Expiration-Schwachstelle, die es Angreifern ermöglichen könnte, Passwörter über unverschlüsselte Verbindungen zu übertragen.Amazon's IonDotnet wies eine Denial-of-Service-Schwachstelle aufgrund einer Endlosschleifenbedingung beim Lesen von binären Ion-Daten auf. Das Problem wurde in Version 1.3.1 behoben. Aonethemes Service Finder Bookings Plugin für WordPress hatte eine Privilege-Escalation-Schwachstelle, die es nicht authentifizierten Angreifern ermöglichte, ein Konto mit einer beliebigen Rolle, einschließlich Administrator, zu registrieren. Arkenons Frontend Login and Registration Blocks Plugin für WordPress hatte eine Privilege-Escalation-Schwachstelle, die es authentifizierten Angreifern ermöglichte, beliebige Benutzerpasswörter zu ändern.Artbees' Jupiter X Core Plugin für WordPress hatte eine PHP Object Injection Schwachstelle, die es Angreifern ermöglichte, ein PHP-Objekt über eine PHAR-Datei einzuschleusen. Ashraful Sarkar Naiems License For Envato hatte eine PHP Remote File Inclusion Schwachstelle, die PHP Local File Inclusion ermöglichte. Cajkas Verification SMS with TargetSMS Plugin für WordPress hatte eine eingeschränkte Remote Code Execution Schwachstelle, die es nicht authentifizierten Angreifern ermöglichte, eine beliebige auf der Seite aufrufbare Funktion auszuführen.