IBM DataPower Gateway enthält einen Out-of-bounds Write, der durch eine unzureichende Grenzprüfung verursacht wird und zu einem Pufferüberlauf führen kann. Gemäss der CVE-Beschreibung von IBM könnte ein lokaler Benutzer die Schwachstelle ausnutzen, um beliebigen Code auf dem Gerät auszuführen. Der CVSS-Vektor (AV:N, PR:N) beschreibt hingegen einen Netzwerkangriff ohne Authentifizierung, weshalb die Gefährdung bis zur Klärung durch IBM als möglicherweise remote betrachtet werden muss.
IBM · DataPower Gateway
IBM DataPower Gateway in den Versionen 10.6.0.0 bis 10.6.0.10 enthält eine Cross-Site-Scripting-Schwachstelle in der Web-Oberfläche. Ein nicht authentifizierter Angreifer kann beliebigen JavaScript-Code einbetten, wodurch die vorgesehene Funktionalität der Oberfläche verändert und möglicherweise Zugangsdaten innerhalb einer vertrauenswürdigen Administrationssitzung offengelegt werden können. IBM bewertet die Lücke mit CVSS 9.3 (Critical); die Komponente Benutzerinteraktion (UI:R) bedeutet, dass ein Opfer aktiv werden muss, etwa indem es einen präparierten Link öffnet.
IBM · DataPower Gateway
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.1 bis 10.6.6, 10.6.0.0 bis 10.6.0.10 und 11.0.0.0 bis 11.0.0.2 enthält einen Out-of-bounds Write im RFC2047-Encoded-Word-Parser. Ein entfernter Angreifer kann dies ohne Authentifizierung und ohne Benutzerinteraktion ausnutzen, um beliebigen Code auf dem Gateway auszuführen. Der CVSS-Wert beträgt 9.8 (kritisch); die genaue Funktion und Eingabe werden vom Hersteller nicht beschrieben.
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine unzureichende Zugriffskontrolle im Caching-Subsystem für Vertex-Ergebnisse. Ein entfernter Angreifer mit einem authentifizierten Konto mit niedrigen Berechtigungen kann sensible Informationen abrufen oder schädliche Daten in gecachte Ergebnisse einschleusen. Es ist keine Benutzerinteraktion nötig, weshalb das Risiko vor allem für Mehrbenutzer-Installationen von Langflow relevant ist.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Code-Injection-Schwachstelle (CWE-94) im Zusammenhang mit unzureichender Eingabevalidierung bei der Verarbeitung von OS-Befehlen. Ein entfernter Angreifer mit gültigen Zugangsdaten kann beliebigen Code mit den Berechtigungen des Langflow-Dienstes ausführen. Eine Authentifizierung ist erforderlich, der CVSS-Basiswert beträgt 8.8 (hoch). Auf Langflow-Systemen sind oft API-Schlüssel gespeichert und es bestehen Verbindungen zu anderen Systemen, daher kann die Auswirkung über die Instanz selbst hinausgehen.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Schwachstelle aufgrund unzureichender Eingabevalidierung (CWE-693). Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Rechten kann beliebigen Code ausführen. Anonymer Zugriff reicht nicht aus, der Code läuft jedoch mit den Rechten des Langflow-Prozesses, weshalb gespeicherte Zugangsdaten, API-Schlüssel und angebundene Dienste gefährdet sind. Technische Details zum betroffenen Codepfad sind nicht offengelegt.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Schwachstelle, die es einem entfernten Angreifer mit gültigem Benutzerkonto erlaubt, beliebigen Code auszuführen. Ursache ist ein Sandbox-Escape aufgrund unzureichender Neutralisierung von Sonderelementen im Code. Für den Angriff ist eine Authentifizierung erforderlich, jedoch könnte jedes Konto, das Flows erstellen oder ausführen kann, Codeausführung auf dem Server erreichen.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Code-Injection-Schwachstelle (CWE-94) bei der Verarbeitung von Sonderzeichen vor der Ausführung von OS-Befehlen. Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Rechten kann beliebige Betriebssystembefehle auf dem Host ausführen. Für die Ausnutzung ist eine Authentifizierung nötig, aber keine Benutzerinteraktion, und der CVSS-3.1-Basiswert beträgt 8.1 (hoch). Der Vektor weist eine hohe Auswirkung auf Vertraulichkeit und Integrität aus und keine Auswirkung auf die Verfügbarkeit.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Schwachstelle aufgrund unzureichender Eingabevalidierung (CWE-693). Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen kann ohne Benutzerinteraktion beliebigen Code ausführen. Der Code läuft mit den Berechtigungen des Langflow-Dienstes, der häufig API-Schlüssel und Zugriff auf weitere interne Systeme besitzt. Die Schwachstelle gehört zu rund 25 Langflow-Problemen, die IBM gemeinsam veröffentlicht hat; mehrere davon sind ohne Authentifizierung ausnutzbar und schwerwiegender.
IBM · Langflow OSS
Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine unvollständige Blockliste im Code-Sicherheitsscanner. Ein Angreifer, der den Dienst erreichen kann, könnte beliebigen Code auf dem Server ausführen. Gemäss dem CVSS-Vektor des Herstellers benötigt der Angreifer niedrige Berechtigungen, etwa ein Benutzerkonto, und es ist keine Benutzerinteraktion erforderlich.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 ist von einer Dependency-Confusion-Schwachstelle betroffen, die als Verletzung des erwarteten Verhaltens (CWE-440) eingestuft ist. Gemäss CVE-Eintrag kann ein entfernter Angreifer beliebigen Code ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Quellen widersprechen sich beim CVSS-Wert (9.8 gegenüber 8.8) und darin, ob eine Benutzerinteraktion nötig ist, daher sind die genauen Angriffsbedingungen nicht bestätigt.
IBM · Langflow OSS
IBM Langflow OSS, die Open-Source-Edition der Plattform Langflow zur Orchestrierung von Sprachmodellen, enthält eine Codeinjektionsschwachstelle (CWE-94) bei der Verarbeitung von Betriebssystembefehlen. Gemäss CVE-Eintrag kann ein Angreifer aus der Ferne beliebigen Code auf dem Server ausführen, was die Vertraulichkeit, Integrität und Verfügbarkeit des Systems vollständig gefährden kann. Der NVD-Eintrag verlangt keine Berechtigungen, die Quellen widersprechen sich jedoch, ob eine Authentifizierung nötig ist. Bis IBM dies klärt, ist die Schwachstelle als potenziell unauthentifiziert zu behandeln. Dasselbe IBM-Security-Bulletin listet mehrere weitere Schwachstellen in Langflow OSS im gleichen Versionsbereich auf.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Code-Injection-Schwachstelle (CWE-94), die es einem entfernten Angreifer mit einem gültigen Benutzerkonto erlaubt, beliebigen Code auszuführen. Eine erfolgreiche Ausnutzung führt Code mit den Rechten des Langflow-Dienstes aus, wodurch Geheimnisse, API-Schlüssel und Daten, auf die der Dienst zugreifen kann, offengelegt werden können. Der CVSS-Basiswert beträgt 8.8 (hoch), und der Angriff erfordert lediglich eine Authentifizierung mit niedrigen Berechtigungen.
IBM · Langflow OSS
IBM Langflow OSS, ein Open-Source-Low-Code-Tool zur Entwicklung von KI-Agenten und KI-Anwendungen, enthält eine Code-Injection-Schwachstelle (CWE-94) bei der Codegenerierung. Ein entfernter Angreifer mit gültigem Benutzerkonto kann beliebigen Code mit den Rechten des Langflow-Prozesses ausführen. Ein Angreifer mit Codeausführung kann auf gespeicherte Zugangsdaten und verbundene Daten zugreifen. Die Schwachstelle wird mit CVSS 8.8 (hoch) bewertet.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Code-Injection-Schwachstelle (CWE-94), mit der ein entfernter Angreifer mit gültigem Konto beliebigen Code ausführen kann. Bei erfolgreicher Ausnutzung läuft der Code mit den Rechten des Langflow-Dienstes, wodurch gespeicherte API-Schlüssel, Modellzugangsdaten und Daten offengelegt werden können. IBM stuft die Schwachstelle mit CVSS 8.8 ein und empfiehlt das Upgrade auf Version 1.12.3.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Code-Injection-Schwachstelle (CWE-94) bei der Codegenerierung. Ein entfernter Angreifer mit gültigem Benutzerkonto kann beliebigen Code auf dem Host ausführen, auf dem Langflow läuft, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 8.8). Details zur Schwachstelle sind nicht öffentlich, und das IBM-Bulletin trennt diese CVE nicht eindeutig von den anderen aufgeführten Langflow-CVEs.
IBM · Langflow OSS
