Version 11.0 (versionCode 11) der Android-App ShoppingList exportiert eine Importaktivität ohne Berechtigungsschutz. Jede auf demselben Gerät installierte App kann eine manipulierte Einkaufsliste an diese Aktivität senden, die ohne Bestätigung in die lokale Datenbank geschrieben und dem Benutzer angezeigt wird. Der Angreifer kann bestehende Listen weder lesen noch Code ausführen, und der Angriff setzt eine lokal installierte App voraus.
wbpxre150 · ShoppingList
Tarnhelm 1.8.2 (versionCode 20250630) für Android exportiert eine Headless-Activity ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App, auch ohne Laufzeitberechtigungen, kann diese starten und den Inhalt der Zwischenablage unbemerkt durch eigenen Text ersetzen. Das nächste Einfügen des Benutzers kann so vom Angreifer kontrollierte Daten enthalten. Der NVD-Eintrag beschreibt den Angriffsvektor als Netzwerk, das Advisory eines Drittanbieters jedoch als lokalen Angriff, der eine schädliche App auf dem Gerät voraussetzt; die tatsächliche Exponierung muss daher verifiziert werden.
lz233 · Tarnhelm
Share to Clipboard für Android, Version 1.14.1 (versionCode 32), exportiert eine Activity, die nicht durch eine Berechtigung geschützt ist. Jede auf demselben Gerät installierte App kann sie starten und den Inhalt der System-Zwischenablage ohne Bestätigung stillschweigend durch eigenen Text ersetzen. Der Angreifer kann die Zwischenablage nicht lesen, und eine Codeausführung oder Rechteausweitung wird nicht behauptet. Das Risiko besteht darin, dass ein Wert, den ein Benutzer später einfügt, etwa ein Passwort oder Kundendaten, ersetzt wurde.
Tengu · Share to Clipboard
WikiAndPad alpha/beta v0.2alpha03 (versionCode 200300) für Android exportiert eine headless Activity ohne Berechtigungs- oder Aufrufprüfung. Jede auf demselben Gerät installierte App kann Text an den Snippet-Speicher der App anhängen und laut Advisory die gespeicherten Snippets über die eigene Listenansicht der App wieder auslesen. Der CVE-Eintrag beschreibt den Export von Daten durch einen nicht autorisierten Angreifer ohne Benutzerinteraktion. Der NVD-Wert 7.5 widerspricht der Bewertung von VulDB, und der im Advisory beschriebene Mechanismus wurde nicht unabhängig bestätigt.
Michael Butscher · WikiAndPad alpha/beta
Recherche und Übersetzung laufen – in Kürze hier.
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 enthält eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in Betriebssystembefehlen (CWE-94 gemäss NVD, die Beschreibung entspricht CWE-78). Gemäss dem CVE-Eintrag benötigt ein Angreifer keine Berechtigungen und keine Benutzerinteraktion, weshalb die Lücke über das Netzwerk erreichbar ist. Der CVSS-Basiswert beträgt 9.8 (kritisch), und die CVE wurde am 29. Oktober 2026 veröffentlicht.
IBM · Langflow OSS
Recherche und Übersetzung laufen – in Kürze hier.
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 neutralisiert Sonderzeichen in einem OS-Befehl nicht korrekt. Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Rechten kann ohne Benutzerinteraktion beliebigen Code auf dem Server ausführen, wodurch gespeicherte Zugangsdaten wie API-Schlüssel offengelegt werden können. Langflow lauscht standardmässig auf localhost, weshalb das Risiko davon abhängt, wie die Software bereitgestellt wird und wer sie erreichen kann.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 deserialisiert nicht vertrauenswürdige Daten unsicher. Ein Angreifer mit einem gültigen Langflow-Konto kann aus der Ferne beliebigen Code auf dem Server ausführen, mit den Berechtigungen des Langflow-Dienstes. Der Hersteller bewertet die Lücke mit CVSS 8.8, und es ist keine Benutzerinteraktion erforderlich.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 deserialisiert nicht vertrauenswürdige Daten aus dem Message Broker. Ein entfernter Angreifer, der den Message Broker erreichen kann, kann beliebigen Code auf dem System ausführen. Der NVD-Eintrag bewertet die Lücke mit CVSS 9.8 (kritisch), andere Quellen bewerten sie jedoch tiefer, weshalb der Wert zu überprüfen ist. Eine Ausnutzung ist nicht bekannt.
IBM · Langflow OSS
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 enthält eine Schwachstelle in der Zugriffskontrolle, die es einem entfernten Angreifer mit gültigem Benutzerkonto erlaubt, beliebige SQL-Befehle auszuführen. Bei erfolgreicher Ausnutzung könnte ein Angreifer Daten in der zugrunde liegenden Datenbank lesen, ändern oder löschen. NVD listet einen CVSS-Wert von 8.8, während IBM für diese CVE 8.5 mit Scope-Änderung angibt.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 enthält eine Server-Side Request Forgery (SSRF). Ein entfernter Angreifer mit einem authentifizierten Konto mit niedrigen Berechtigungen kann den Server veranlassen, Anfragen an andere Systeme zu senden, wodurch sensible Informationen offengelegt werden können. Die CVSS-Werte von NVD und IBM weichen voneinander ab, daher sollte vor einer Verwendung eines der beiden Werte der aktuelle NVD-Eintrag geprüft werden.
IBM · Langflow OSS
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 enthält eine Code-Injection-Schwachstelle (CWE-94), die durch unzureichende Neutralisierung von Sonderelementen entsteht. Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen kann beliebigen Code auf dem Server ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 8.8). Die verwundbare Komponente und der Auslöser sind öffentlich nicht beschrieben.
IBM · Langflow OSS
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
