Neue Schwachstellen – verständlich aufbereitet

Langflow OSS: OS-Command-Injection ermöglicht Remote Code Execution

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.4 enthält eine OS-Command-Injection-Schwachstelle (CWE-78). Ein authentifizierter Angreifer aus dem Netzwerk kann Betriebssystembefehle einschleusen und beliebigen Code auf dem Server ausführen, mit vollen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für die Ausnutzung ist ein gültiges Benutzerkonto auf der Langflow-Instanz erforderlich.

IBM · Langflow OSS

USP ZX Spectrum Emulator: Pfad-Traversierung erlaubt Überschreiben von Dateien

Die Android-App USP (Paket app.usp) enthält eine exportierte Activity, die Content-URIs von beliebigen Apps annimmt, ohne den Aufrufer zu prüfen. Eine lokal installierte App ohne Berechtigungen kann bewirken, dass sie vom Angreifer gelieferte Bytes in einen Pfad ausserhalb des vorgesehenen Verzeichnisses im privaten Speicher der App schreibt und bestehende Dateien überschreibt. Die CVE beschreibt eine Screenshot-App namens USP Ultimate Screenshot Painter, die verlinkte F-Droid-Seite beschreibt jedoch einen ZX-Spectrum-Emulator, daher muss die Produktidentität bestätigt werden. Codeausführung oder Datenoffenlegung wird nicht behauptet.

Oasis Feng Island: Unsichere Export von Activities erlaubt Änderung des Freeze-Status

Island mit versionCode 51801 stellt eine Activity (FeatureActionActivity) ohne ausreichende Zugriffskontrolle bereit. Der NVD-Eintrag beschreibt ein durch Angreifer ausgelöstes Einfrieren, das zu einer Denial-of-Service-Situation führt. Das verlinkte GitHub-Advisory beschreibt eine gravierendere Auswirkung: Eine lokal installierte App ohne Berechtigungen kann ohne Benutzerinteraktion den Freeze-Status einer App aufheben und diese im verwalteten Profil starten. Laut Advisory hat der Hersteller noch keinen Fix veröffentlicht, und die Schweregrad-Bewertung durch NVD ist noch zurückgestellt.

Oasis Feng · Island

Recherche und Übersetzung laufen – in Kürze hier.

NetGuard: Exportierte Activity erlaubt unberechtigte Deaktivierung der Firewall

NetGuard, eine Firewall-App für Android ohne Root-Berechtigung, enthält unsichere Berechtigungen in der exportierten Activity ActivityMain in Version 2026080101 (versionName 2.337). Eine auf demselben Gerät installierte App ohne Android-Berechtigungen kann ein boolesches Extra mit dem Namen "Approve" senden und die Firewall ohne Benutzerinteraktion ausschalten; die Änderung bleibt nach einem Force-Stop und einem Neustart erhalten. Der CVE-Eintrag beschreibt einen erzwungenen Gerätereset oder eine Denial-of-Service-Situation, während das Advisory die unberechtigte Deaktivierung der Firewall und den Abbruch des VPN-Dienstes meldet.

Marcel Bokhorst (FairCode BV) · NetGuard

Recherche und Übersetzung laufen – in Kürze hier.

NoNonsense Notes: Unsichere Berechtigungen erlauben unberechtigte Notizänderungen

NoNonsense Notes für Android, Version 72600 (7.2.6), exportiert zwei Broadcast-Receiver, die eine Notiz-ID vom Aufrufer entgegennehmen, ohne den Absender zu prüfen. Jede auf demselben Gerät installierte App kann ohne Laufzeitberechtigungen andere Notizen als erledigt oder nicht erledigt markieren. Laut Advisory ist nur ein Schreibzugriff möglich, ein Lesezugriff besteht nicht, und die Aktionen zum Löschen und Verschieben von Erinnerungen wurden nicht getestet.

NoNonsenseApps · NoNonsense Notes

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Leafpad: Exportierte Android-Komponente erlaubt Schreiben von Notizen ohne Berechtigung

Leafpad für Android in Version 1.21 exportiert eine Activity, die keine Berechtigung erfordert. Jede auf demselben Gerät installierte App kann Text an diese Activity senden, und dieser Text wird ohne Benutzerinteraktion als neue Notiz in der Datenbank der App gespeichert. Der Melder hat dies mit einer Test-App demonstriert, und die eingeschleusten Notizen blieben nach einem Neustart erhalten. Der NVD-Wert von 9.1 setzt einen Netzwerkangriff voraus, während eine andere Quelle den Angriff als lokal einstuft; das tatsächliche Risiko ist daher umstritten.

Marcus Radisch · Leafpad

Recherche und Übersetzung laufen – in Kürze hier.

BulkShare Android-App: Unsachgemässer Export einer Activity erlaubt Injektion in Link-Warteschlange

BulkShare 2.1.0 für Android exportiert die Komponente ShareActivity ohne Berechtigungsschutz, sodass jede auf demselben Gerät installierte App sie ohne Benutzerinteraktion aufrufen und beliebigen Text in die Link-Warteschlange der App einfügen kann. Die eingefügten Links können später vom Benutzer über die App weitergegeben werden, was einen manipulierten Datenfluss ermöglicht. Der NVD-Status ist Deferred und der CVSS-Wert ist nicht bestätigt; Produktname und Versionszuordnung im CVE widersprechen den Angaben des Herstellers und sind nicht verifiziert.

Alex Gherghisan · BulkShare

YubiClip XOR: Unsichere Komponenten-Freigabe in Android erlaubt Überschreiben der Zwischenablage

YubiClip XOR Version 1.0.1 (versionCode 10003) für Android enthält eine exportierte Activity ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App kann diese Activity starten und die Zwischenablage des Systems mit einer vom Angreifer gewählten Zeichenkette überschreiben. Die Zwischenablage-Funktion ist standardmässig aktiviert, und eine Bestätigung durch den Benutzer ist nicht erforderlich.

craftxbox · YubiClip XOR

Recherche und Übersetzung laufen – in Kürze hier.

ShoppingList: Exportierte Android-Aktivität erlaubt unautorisierten Listenimport

Version 11.0 (versionCode 11) der Android-App ShoppingList exportiert eine Importaktivität ohne Berechtigungsschutz. Jede auf demselben Gerät installierte App kann eine manipulierte Einkaufsliste an diese Aktivität senden, die ohne Bestätigung in die lokale Datenbank geschrieben und dem Benutzer angezeigt wird. Der Angreifer kann bestehende Listen weder lesen noch Code ausführen, und der Angriff setzt eine lokal installierte App voraus.

wbpxre150 · ShoppingList

Recherche und Übersetzung laufen – in Kürze hier.

Share to Clipboard: Unzureichend exportierte Android-Activity erlaubt Überschreiben der Zwischenablage

Share to Clipboard für Android, Version 1.14.1 (versionCode 32), exportiert eine Activity, die nicht durch eine Berechtigung geschützt ist. Jede auf demselben Gerät installierte App kann sie starten und den Inhalt der System-Zwischenablage ohne Bestätigung stillschweigend durch eigenen Text ersetzen. Der Angreifer kann die Zwischenablage nicht lesen, und eine Codeausführung oder Rechteausweitung wird nicht behauptet. Das Risiko besteht darin, dass ein Wert, den ein Benutzer später einfügt, etwa ein Passwort oder Kundendaten, ersetzt wurde.

Tengu · Share to Clipboard

WikiAndPad alpha/beta: Unsachgemässer Export einer Android-Anwendungskomponente

WikiAndPad alpha/beta v0.2alpha03 (versionCode 200300) für Android exportiert eine headless Activity ohne Berechtigungs- oder Aufrufprüfung. Jede auf demselben Gerät installierte App kann Text an den Snippet-Speicher der App anhängen und laut Advisory die gespeicherten Snippets über die eigene Listenansicht der App wieder auslesen. Der CVE-Eintrag beschreibt den Export von Daten durch einen nicht autorisierten Angreifer ohne Benutzerinteraktion. Der NVD-Wert 7.5 widerspricht der Bewertung von VulDB, und der im Advisory beschriebene Mechanismus wurde nicht unabhängig bestätigt.

Michael Butscher · WikiAndPad alpha/beta

Recherche und Übersetzung laufen – in Kürze hier.

Langflow OSS: Code-Injection ermöglicht Remote Code Execution

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 enthält eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in Betriebssystembefehlen (CWE-94 gemäss NVD, die Beschreibung entspricht CWE-78). Gemäss dem CVE-Eintrag benötigt ein Angreifer keine Berechtigungen und keine Benutzerinteraktion, weshalb die Lücke über das Netzwerk erreichbar ist. Der CVSS-Basiswert beträgt 9.8 (kritisch), und die CVE wurde am 29. Oktober 2026 veröffentlicht.

IBM · Langflow OSS

Langflow Langflow

Recherche und Übersetzung laufen – in Kürze hier.

IBM Langflow OSS: Remote Code Execution durch OS-Command-Injection

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 neutralisiert Sonderzeichen in einem OS-Befehl nicht korrekt. Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Rechten kann ohne Benutzerinteraktion beliebigen Code auf dem Server ausführen, wodurch gespeicherte Zugangsdaten wie API-Schlüssel offengelegt werden können. Langflow lauscht standardmässig auf localhost, weshalb das Risiko davon abhängt, wie die Software bereitgestellt wird und wer sie erreichen kann.

IBM · Langflow OSS

IBM Langflow OSS: Remote Code Execution durch Deserialisierung nicht vertrauenswürdiger Daten

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 deserialisiert nicht vertrauenswürdige Daten unsicher. Ein Angreifer mit einem gültigen Langflow-Konto kann aus der Ferne beliebigen Code auf dem Server ausführen, mit den Berechtigungen des Langflow-Dienstes. Der Hersteller bewertet die Lücke mit CVSS 8.8, und es ist keine Benutzerinteraktion erforderlich.

IBM · Langflow OSS

IBM Langflow OSS: Deserialisierung nicht vertrauenswürdiger Daten erlaubt Codeausführung

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 deserialisiert nicht vertrauenswürdige Daten aus dem Message Broker. Ein entfernter Angreifer, der den Message Broker erreichen kann, kann beliebigen Code auf dem System ausführen. Der NVD-Eintrag bewertet die Lücke mit CVSS 9.8 (kritisch), andere Quellen bewerten sie jedoch tiefer, weshalb der Wert zu überprüfen ist. Eine Ausnutzung ist nicht bekannt.

IBM · Langflow OSS

Langflow Langflow

Recherche und Übersetzung laufen – in Kürze hier.