Neue Schwachstellen – verständlich aufbereitet

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Crawl4AI: Denial of Service durch unbegrenzte Delay-Felder im Crawler

Der Docker-API-Server von Crawl4AI begrenzt die Felder delay_before_return_html, mean_delay und max_range bei nicht vertrauenswürdigen Crawl-Anfragen nicht. Ein Netzwerkclient, der die API erreichen kann, kann sehr grosse Werte an /crawl oder /crawl/stream senden, wodurch Browser-Seiten belegt und der Rate-Limiter blockiert werden. Dadurch wird der Seitenpool erschöpft und andere Crawls werden blockiert, was ein Risiko für einen Serviceausfall ohne Datenverlust darstellt. Die Standardkonfiguration ist betroffen, da die JWT-Authentifizierung standardmässig deaktiviert ist.

unclecode · Crawl4AI

Crawl4AI: Unzureichende Zertifikatsprüfung über fest codierte Chromium-Flags

Crawl4AI startet Chromium mit --ignore-certificate-errors, daher akzeptiert der Browser jedes TLS-Zertifikat. Zusätzlich überschreibt das fest codierte Flag --no-sandbox die Sandbox-Einstellung. Ein Angreifer, der den Datenverkehr abfangen oder das DNS für eine gecrawlte Domain kontrollieren kann, kann dem Crawler gefälschte Inhalte liefern und Cookies sowie Header der Anfrage lesen. Die gecrawlten Inhalte können anschliessend nachgelagerte Systeme wie RAG- oder LLM-Pipelines speisen. Voraussetzung ist eine Man-in-the-Middle- oder DNS-Kontrollposition im Netzwerkpfad des Crawlers.

unclecode · Crawl4AI

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

BuddyBoss Platform: Privilegienerweiterung für Subscriber im WordPress-Plugin

Das WordPress-Plugin BuddyBoss Platform bis und mit Version 3.5.0 enthält eine Schwachstelle zur Privilegienerweiterung (CWE-266). Ein Angreifer mit einem Subscriber-Konto mit niedrigen Rechten kann höhere Privilegien erlangen, potenziell bis zum Administrator mit vollständiger Kontrolle über die Website. Der Angriff ist über das Netzwerk ohne Benutzerinteraktion möglich, weshalb Websites mit offener Registrierung am stärksten gefährdet sind.

BuddyBoss · Buddyboss Platform

10Web Social Photo Feed: PHP Object Injection durch Benutzer mit Contributor-Rolle

Das WordPress-Plugin 10Web Social Photo Feed bis und mit Version 1.5.6 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die auf unsichere Deserialisierung nicht vertrauenswürdiger Daten zurückzuführen ist. Ein Angreifer mit einem Konto mit mindestens Contributor-Rechten kann die Schwachstelle über das Netzwerk ausnutzen, um die Verarbeitung von Daten auf dem System zu manipulieren, mit möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine korrigierte Version oder ein Workaround des Herstellers ist noch nicht bekannt, und es sind weder aktive Ausnutzung noch ein öffentlicher Exploit erfasst.

10Web · Social Photo Feed

Social Snap WordPress-Plugin: PHP Object Injection über Contributor-Konto

Das WordPress-Plugin Social Snap bis und mit Version 1.5.4 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die vom CNA Patchstack mit 8.8 (Hoch) bewertet wird. Ein authentifizierter Angreifer mit einem Konto der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, was die serverseitige Verarbeitung beeinflussen und je nach vorhandenen Gadget-Ketten zu einer weitergehenden Kompromittierung der Website führen kann. Die genaue verwundbare Eingabe ist in den geprüften Quellen nicht angegeben.

Socialsnap · Social Snap

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Frisbii Pay WordPress-Plugin: PHP Object Injection über Contributor-Rolle

Das WordPress-Plugin Frisbii Pay (WooCommerce-Zahlungsgateway) bis einschliesslich Version 1.8.19 ist von einer PHP Object Injection Schwachstelle (CWE-502) betroffen. Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte Daten senden, die das Plugin deserialisiert, was zur Manipulation der serverseitigen Verarbeitung führen kann und je nach Website zu Codeausführung, Datenzugriff oder Datenänderungen. Für die Ausnutzung ist ein Konto mit niedrigen Rechten nötig; eine aktive Ausnutzung ist nicht bekannt.

Frisbii · Frisbii Pay

WP Media folders WordPress-Plugin: PHP Object Injection durch Contributor-Benutzer

Das WordPress-Plugin WP Media folders bis und mit Version 1.1.10 ist anfällig für PHP Object Injection. Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin unsicher verarbeitet, sodass ein Angreifer die Anwendungslogik beeinflussen und schädliche Aktionen auf dem Server auslösen könnte. Das Plugin wird nicht mehr gepflegt, und es ist kein offizieller Patch bekannt.

dbarrere · WP Media folders

Recherche und Übersetzung laufen – in Kürze hier.

News Kit Elementor Addons: PHP Object Injection durch Subscriber-Benutzer

Das WordPress-Plugin News Kit Elementor Addons bis und mit Version 1.5.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Subscriber-Konto kann manipulierte serialisierte Daten übermitteln, die vom Plugin unsicher verarbeitet werden. Je nach weiteren installierten Komponenten kann dies zu Codeausführung, Datenzugriff oder Datenmanipulation auf dem Server führen. Zum Zeitpunkt der Recherche war kein offizieller Patch verfügbar, und die korrigierte Version ist unbekannt.

BlazeThemes · News Kit Elementor Addons

Recherche und Übersetzung laufen – in Kürze hier.

BuddyPress Xprofile Custom Field Types: PHP Object Injection durch Subscriber

Das WordPress-Plugin BuddyPress Xprofile Custom Field Types bis und mit Version 1.3.1 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein Angreifer mit einem Subscriber-Konto kann serialisierte Daten so manipulieren, dass der Server sie als PHP-Objekte verarbeitet, was Codeausführung, Datenzugriff oder Denial of Service ermöglichen kann. Für die Ausnutzung ist ein angemeldetes Konto mit niedrigen Rechten nötig, daher sind Websites mit offener Registrierung am stärksten gefährdet. Zum Zeitpunkt der Erstellung wurde kein Herstellerfix gefunden.

BuddyDev · BuddyPress Xprofile Custom Field Types

Dynamic QR Code – generator: PHP Object Injection im WordPress-Plugin

Das WordPress-Plugin Dynamic QR Code – generator von sosidee, Versionen bis einschliesslich 1.0.1, enthält eine PHP-Object-Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Konto der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin verarbeitet, wodurch serverseitige Objekte manipuliert werden können. Je nach weiteren installierten Plugins und Themes kann dies zu Codeausführung, Datenzugriff oder Dienstunterbruch führen. Der CNA Patchstack stuft die Schwachstelle mit CVSS 8.8 ein, eine behobene Version ist nicht bestätigt.

sosidee · Dynamic QR Code – generator

Extra Fees for WooCommerce: PHP Object Injection

Das WordPress-Plugin Extra Fees for WooCommerce bis und mit Version 4.4.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin deserialisiert, was die Verarbeitungslogik beeinflussen kann. Je nach Klassen in anderen installierten Plugins und Themes kann eine erfolgreiche Ausnutzung zur Ausführung von Code oder zur Kompromittierung von Daten auf dem Server führen.

Dotstore · Extra Fees for WooCommerce

Recherche und Übersetzung laufen – in Kürze hier.