NEX-Forms, ein Formularerstellungs-Plugin für WordPress, enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (CWE-79) im Parameter 'type', die auf ungenügende Eingabebereinigung und Ausgabe-Escaping zurückzuführen ist. Ein nicht authentifizierter Angreifer kann beliebige Webskripte in Seiten einschleusen, die bei jedem Aufruf einer betroffenen Seite ausgeführt werden. Der CNA bewertet die Schwachstelle mit CVSS 3.1 7.2 (Hoch); VulDB bewertet sie mit 4.3.
webaways · NEX-Forms – Ultimate Forms Plugin for WordPress
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
oapi-codegen in den Versionen 2.0.0 bis 2.8.0 erlaubt Code-Injection über nicht-literale Enum-Einträge in Integer-, Number- oder Boolean-Schemas eines OpenAPI-Dokuments. Ein Angreifer, der das OpenAPI-Dokument kontrolliert, kann einen Enum-Eintrag so gestalten, dass der const-Block im Code-Template geschlossen und eine Funktion func init() eingefügt wird. Der eingeschleuste Code wird ausgeführt, wenn das generierte Paket gebaut und importiert wird, typischerweise auf Entwicklerrechnern oder in CI-Runnern. Die NVD-Bewertung (CVSS 4.0 8.7) setzt voraus, dass ein Benutzer das manipulierte Dokument verarbeiten muss (UI:P).
oapi-codegen · oapi-codegen
oapi-codegen, ein Go-Werkzeug zur Erzeugung von Go-Code aus OpenAPI-Spezifikationen, maskiert den Wert servers[].x-go-name im Template server-urls nicht. Ein Angreifer, der ein OpenAPI-Dokument kontrolliert, kann Go-Code einschleusen, einschliesslich einer func init()-Funktion, die beim Bauen oder Importieren des generierten Pakets ausgeführt wird. Voraussetzung ist, dass ein Entwickler oder eine CI/CD-Pipeline Code aus dem manipulierten Dokument generiert.
oapi-codegen · oapi-codegen
Das npm-Paket open (Versionen 7.2.0 bis vor 11.0.0) kann unter Windows und WSL PowerShell-Code ausführen, wenn manipulierte URLs verarbeitet werden. Angreifer können $(...)-Teilausdrücke in URLs einbetten, zum Beispiel in OAuth-authorization_endpoint-Werten von bösartigen MCP-Servern, die ausgeführt werden, wenn das Paket sie ungeschützt an PowerShell übergibt. Für einen Angriff muss ein Benutzer eine solche URL öffnen oder verarbeiten, etwa durch die Verbindung zu einem bösartigen MCP-Server.
sindresorhus · open
Das WordPress-Plugin NewsmanApp bis einschliesslich Version 3.7.29 bereinigt und maskiert die Felder für Rechnungsvorname und Rechnungsnachname nicht korrekt. Ein nicht angemeldeter Angreifer kann bösartige Skripte speichern, die im Browser jedes Benutzers ausgeführt werden, der eine betroffene Seite öffnet. Die Schwachstelle betrifft nur Installationen, bei denen Newsman Remarketing aktiviert und eine nicht leere Remarketing-ID konfiguriert ist.
Newsman · NewsmanApp
Das Newsmatic-Theme für WordPress maskiert den Parameter 'slug' nicht ausreichend und verwendet keine vorbereiteten SQL-Anweisungen. Ein nicht angemeldeter Angreifer kann über das Netzwerk SQL-Abfragen an bestehende Datenbankabfragen anhängen. Damit lassen sich sensible Informationen aus der Datenbank extrahieren, etwa Benutzerkonten und Passwort-Hashes, auf jeder öffentlich erreichbaren Website mit dem betroffenen Theme.
blazethemes · Newsmatic
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Das Installationsprogramm von Yamaha LAN Monitor for Windows bis Version 1.9.3 lädt Dynamic Link Libraries aus einem unsicheren Suchpfad. Wird das Installationsprogramm aus einem Verzeichnis mit einer speziell präparierten DLL gestartet, wird diese geladen und Code wird mit administrativen Rechten ausgeführt. Der Angreifer muss die Datei lokal platzieren und der Benutzer muss das Installationsprogramm ausführen; betroffen ist nur die Installation, nicht bereits installierte Versionen.
Yamaha Corporation · Yamaha LAN Monitor for Windows
Recherche und Übersetzung laufen – in Kürze hier.
Zwei OS-Command-Injection-Schwachstellen in der Update-Installationsfunktion von Nozomi Networks Guardian und CMC erlauben die Ausführung beliebiger Befehle mit Root-Rechten. Ursache ist eine unzureichende Validierung der Inhalte von Update-Paketen. Ein Angreifer benötigt administrative Berechtigungen und muss ein manipuliertes Update-Paket installieren lassen, beispielsweise über die Web-Management-Oberfläche. Erfolgreich ausgenutzt können sensitive Daten gelesen oder verändert, die Gerätekonfiguration geändert oder das Gerät heruntergefahren werden.
Nozomi Networks · Guardian and CMC
Nozomi Networks Guardian und Central Management Console (CMC) vor Version 26.4.0 enthalten einen Fehler bei der Validierung von Update-Bundles. Ein Angreifer mit administrativen Berechtigungen kann ein manipuliertes Update-Bundle bereitstellen, das die Signaturprüfung besteht, aber bei der Installation ein unsigniertes Skript mit Root-Rechten ausführt. Damit können sensible Daten gelesen oder verändert, die Konfiguration des Geräts geändert oder das Gerät heruntergefahren werden.
Nozomi Networks · Guardian/CMC
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Das WordPress-Plugin Login with phone number bis einschliesslich Version 1.8.78 enthält eine fehlerhafte Authentifizierung (CWE-1390, CVSS 8.8 laut CNA). Laut Patchstack kann ein Angreifer das Login umgehen oder sich ohne Passwort als andere Benutzer anmelden. Patchstack nennt als erforderliche Berechtigung Subscriber, daher ist möglicherweise ein Konto mit niedrigen Rechten nötig, die genaue Voraussetzung ist jedoch nicht bestätigt.
Hamid Alinia · Login with phone number
Das WordPress-Plugin BuddyPress enthält eine Blind SQL-Injection-Schwachstelle (CWE-89) in den Versionen bis und mit 14.5.2. Ein Angreifer mit einem Konto mit niedrigen Rechten kann SQL-Befehle einschleusen und Datenbankinhalte auslesen, darunter Benutzerkonten und private Daten, wobei dies langsam ist und viele Anfragen erfordert. Patchstack stuft das Problem als hohe Priorität mit einem CVSS-Wert von 8.5 ein, VulDB gibt 6.3 an; die Analyse durch die NVD steht noch aus.
WordPress BuddyPress · BuddyPress
Das WordPress-Plugin Motors - Car Dealership & Classified Listings bis und mit Version 1.4.126 enthält eine Blind SQL-Injection-Schwachstelle (CWE-89). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch manipulierte Anfragen Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Patchstack stuft das Problem mit einem CVSS-Wert von 9.3 als hohe Priorität ein.
StylemixThemes · Motors
