Das WordPress-Plugin Sastra Essential Addons for Elementor bis einschliesslich Version 1.2.3 ist von einer PHP Object Injection Schwachstelle (CWE-502) betroffen. Ein Angreifer mit einem WordPress-Konto auf Stufe Author kann manipulierte serialisierte Daten übermitteln, wodurch die serverseitige Verarbeitung beeinflusst und schädliche Aktionen auf dem Server ausgeführt werden können. Der Angriff setzt einen gültigen Author-Login voraus, daher ist nicht die unauthentifizierte Erreichbarkeit das Hauptrisiko, wohl aber sind Websites mit vielen Mitwirkenden oder geteilten Konten stärker gefährdet.
TemplatesCoder · Sastra Essential Addons for Elementor
Das WordPress-Plugin Frisbii Pay (WooCommerce-Zahlungsgateway) bis einschliesslich Version 1.8.19 ist von einer PHP Object Injection Schwachstelle (CWE-502) betroffen. Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte Daten senden, die das Plugin deserialisiert, was zur Manipulation der serverseitigen Verarbeitung führen kann und je nach Website zu Codeausführung, Datenzugriff oder Datenänderungen. Für die Ausnutzung ist ein Konto mit niedrigen Rechten nötig; eine aktive Ausnutzung ist nicht bekannt.
Frisbii · Frisbii Pay
Das WordPress-Plugin WP Media folders bis und mit Version 1.1.10 ist anfällig für PHP Object Injection. Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin unsicher verarbeitet, sodass ein Angreifer die Anwendungslogik beeinflussen und schädliche Aktionen auf dem Server auslösen könnte. Das Plugin wird nicht mehr gepflegt, und es ist kein offizieller Patch bekannt.
dbarrere · WP Media folders
Das WordPress-Plugin Finale Lite für WooCommerce enthält in den Versionen bis und mit 2.21.0 eine PHP Object Injection-Schwachstelle (CWE-502). Ein authentifizierter Benutzer mit der Rolle Shop Manager kann manipulierte serialisierte Daten einreichen, die das Plugin verarbeitet, was die Manipulation serverseitiger Objekte und schädliche Aktionen auf dem Server ermöglichen kann. Ein Angriff setzt ein Shop-Manager-Konto voraus, und die tatsächlichen Auswirkungen hängen vom Code auf der Website ab.
Daman Jeet · Finale Lite
Das WordPress-Plugin News Kit Elementor Addons bis und mit Version 1.5.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Subscriber-Konto kann manipulierte serialisierte Daten übermitteln, die vom Plugin unsicher verarbeitet werden. Je nach weiteren installierten Komponenten kann dies zu Codeausführung, Datenzugriff oder Datenmanipulation auf dem Server führen. Zum Zeitpunkt der Recherche war kein offizieller Patch verfügbar, und die korrigierte Version ist unbekannt.
BlazeThemes · News Kit Elementor Addons
Das WordPress-Plugin myPOS Checkout bis und mit Version 1.4.5 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein angemeldeter Benutzer mit der Rolle Shop-Manager kann manipulierte serialisierte Daten übermitteln, die das Plugin unsicher verarbeitet. Dadurch kann ein Angreifer Daten manipulieren und je nach installierten Plugins schädliche Aktionen auf dem Server ausführen. Patchstack bewertet den CVSS-Score mit 7.2, VulDB mit 4.7.
myPOS · Checkout WordPress plugin
Das WordPress-Plugin BuddyPress Xprofile Custom Field Types bis und mit Version 1.3.1 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein Angreifer mit einem Subscriber-Konto kann serialisierte Daten so manipulieren, dass der Server sie als PHP-Objekte verarbeitet, was Codeausführung, Datenzugriff oder Denial of Service ermöglichen kann. Für die Ausnutzung ist ein angemeldetes Konto mit niedrigen Rechten nötig, daher sind Websites mit offener Registrierung am stärksten gefährdet. Zum Zeitpunkt der Erstellung wurde kein Herstellerfix gefunden.
BuddyDev · BuddyPress Xprofile Custom Field Types
Das WordPress-Plugin Dynamic QR Code – generator von sosidee, Versionen bis einschliesslich 1.0.1, enthält eine PHP-Object-Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Konto der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin verarbeitet, wodurch serverseitige Objekte manipuliert werden können. Je nach weiteren installierten Plugins und Themes kann dies zu Codeausführung, Datenzugriff oder Dienstunterbruch führen. Der CNA Patchstack stuft die Schwachstelle mit CVSS 8.8 ein, eine behobene Version ist nicht bestätigt.
sosidee · Dynamic QR Code – generator
Das WordPress-Plugin Extra Fees for WooCommerce bis und mit Version 4.4.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin deserialisiert, was die Verarbeitungslogik beeinflussen kann. Je nach Klassen in anderen installierten Plugins und Themes kann eine erfolgreiche Ausnutzung zur Ausführung von Code oder zur Kompromittierung von Daten auf dem Server führen.
Dotstore · Extra Fees for WooCommerce
Das WordPress-Plugin Zippy bis Version 1.7.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Gemäss CVE-Beschreibung kann ein Benutzer mit der Rolle Editor sie auslösen, wodurch die Verarbeitung serialisierter Daten manipuliert und schädliche Aktionen auf dem Server ausgeführt werden können. Der CVSS-3.1-Wert beträgt 7.2, und der CVSS-Vektor setzt hohe Berechtigungen voraus, weshalb ein Angreifer ein angemeldetes Editor-Konto benötigt. Eine Herstellerkorrektur ist noch nicht bestätigt.
Gesundheit Bewegt GmbH · Zippy
Das WordPress-Plugin WPCargo Track & Trace bis und mit Version 8.0.5 ist von einer PHP Object Injection Schwachstelle (CWE-502) betroffen. Gemäss CVSS-Vektor benötigt ein Angreifer hohe Berechtigungen (Rolle Author) und kann die Vertraulichkeit, Integrität und Verfügbarkeit des Servers beeinträchtigen. Patchstack stuft das Problem als Priorität mittel ein und erwartet eine Ausnutzung, eine Ausnutzung ist derzeit jedoch nicht bekannt.
Arni Cinco · WPCargo Track & Trace
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
RT-Labs P-Net ist ein Profinet-Device-Stack, der in der Embedded-Firmware industrieller Geräte wie SPS, I/O-Module, Antriebe und Sensoren eingesetzt wird. Versionen vor 1.0.3 geben RPC-Sessions nicht frei, die für Anfragen mit einer unbekannten Interface- oder Object-UUID angelegt werden, und starten dafür auch kein Timeout. Ein entfernter, nicht authentifizierter Angreifer kann durch wiederholte Anfragen die verfügbaren Sessions erschöpfen, sodass das Gerät keine neuen RPC-Anfragen mehr beantwortet, einschliesslich Endpoint Mapper Lookup und Connect, bis es neu gestartet wird.
RT-Labs · P-Net
Falsche Standarddateiberechtigungen in ASP.NET Core erlauben es einem lokalen, berechtigten Benutzer mit niedrigen Rechten, seine Rechte zu erweitern. Die Microsoft-Empfehlung beschränkt das Problem auf Linux-Installationen der Runtime- und Targeting-Pack-Tarballs sowie auf aus dem Quellcode erstellte .NET-Tarballs, der offizielle CVE-Eintrag und einige Drittquellen führen jedoch auch Windows und macOS auf. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Hosts sind hoch. Eine bestätigte Ausnutzung in freier Wildbahn ist nicht bekannt.
Microsoft · ASP.NET Core
Recherche und Übersetzung laufen – in Kürze hier.
OpenText Advanced Authentication Server, eine Plattform für Multi-Faktor-Authentifizierung, vertraut zusätzlichen, nicht vertrauenswürdigen Daten auf eine Weise, die einem Angreifer den Zugriff auf Funktionen erlaubt, die durch Zugriffskontrollen geschützt sein sollten. Der CNA beschreibt dies als Umgehung der Anmeldung, doch der NVD-Eintrag war zum Zeitpunkt der Recherche noch in Analyse und die Schwachstellenklassifizierung unterscheidet sich zwischen den Quellen. Die Hersteller-Advisories nennen die betroffenen Bereiche; laut CVSS-v4-Vektor ist der Angriff über das Netzwerk möglich und erfordert weder Berechtigungen noch Benutzerinteraktion.
OpenText · Advanced Authentication Server
Recherche und Übersetzung laufen – in Kürze hier.
P-Net, ein PROFINET-IO-Stack für eingebettete industrielle Feldgeräte, gibt die Application Relationship und die RPC-Session nicht frei, wenn eine RPC-Anfrage mit falscher Endianness abgewiesen wird. Wiederholte Anfragen erschöpfen die verfügbaren Sessions, und das Gerät beantwortet danach keine neuen RPC-Anfragen mehr, einschliesslich Connect, bis es neu gestartet wird. Ein entfernter, nicht authentifizierter Angreifer im Netzwerk kann dadurch einen Denial of Service auslösen, der einen Produktionsprozess unterbrechen kann.
RT-Labs · P-Net
P-Net vor 1.0.3, ein PROFINET-Gerätestack für industrielle I/O-Geräte, dereferenziert bei der Verarbeitung eines impliziten Leseauftrags ohne gültige AR-UUID für einen benutzerspezifischen Record-Index einen NULL-AR-Pointer. Dies geschieht nur, wenn die Anwendung einen Read-Callback registriert hat. Ein entfernter, nicht authentifizierter Angreifer, der das Gerät erreichen kann, kann einen solchen Auftrag senden und das Gerät zum Absturz bringen, was zu einer Denial of Service führt. Der CVSS-Wert 8.7 stammt vom CNA; die Analyse durch NVD steht noch aus.
RT-Labs · P-Net
RT-Labs P-Net, ein Stack für PROFINET-Geräte, enthält einen Integer-Unterlauf in pf_cpm_c_data_ind(). Ein manipulierter, zu kurzer zyklischer Datenframe, der empfangen wird, während sich der Consumer im Zustand FRUN oder RUN befindet, lässt einen Offset überlaufen, sodass die Funktion ausserhalb des Empfangspuffers liest. Ein Angreifer im selben Netzwerksegment kann ohne Authentifizierung einen Absturz (Denial of Service) auslösen oder Speicherinhalte offenlegen.
RT-Labs · P-Net
Der PROFINET-Stack P-Net vor Version 1.0.3 prüft die Länge empfangener Ethernet-Frames in pf_eth_recv() nicht, bevor EtherType, VLAN-Tags und PROFINET FrameID gelesen werden. Die VLAN-Tag-Schleife hat keine obere Grenze, daher liest die Funktion bei einem abgeschnittenen Frame oder einem Frame, das nur aus VLAN-Tags besteht, über das Ende des Empfangspuffers hinaus. Ein Angreifer mit Layer-2-Zugriff auf das Netzwerksegment des Geräts kann das Gerät zum Absturz bringen (Denial of Service) oder Speicherinhalte offenlegen.
RT-Labs · P-Net
P-Net, die eingebettete Profinet-IO-Device-Bibliothek von RT-Labs, dereferenziert einen NULL-AR-Zeiger, wenn sie eine implizite Leseanfrage ohne gültige Ziel-AR-UUID für einen AR-spezifischen Record-Index oder für die erwarteten Identifikationsdaten eines Slots oder Subslots verarbeitet. Ein entfernter, nicht authentifizierter Angreifer, der ein verwundbares Gerät im Netzwerk erreichen kann, kann eine solche Anfrage senden und das Gerät zum Absturz bringen, was einen Denial of Service auslöst. Betroffen ist nur die Verfügbarkeit, allerdings können Industriegeräte mit dieser Bibliothek bis zum Neustart ausfallen.
RT-Labs · P-Net
RT-Labs P-Net, ein PROFINET-Gerätestack für eingebettete industrielle Geräte, enthält einen Out-of-bounds Write beim Verarbeiten von AR-Vendor-Block-Anfragen. Nur Builds mit aktivierter Compile-Option PNET_OPTION_AR_VENDOR_BLOCKS sind betroffen; diese Option ist standardmässig deaktiviert. Ein Angreifer kann über eine manipulierte Connect-Anfrage im Netzwerk, ohne Authentifizierung und ohne Benutzerinteraktion, das Gerät zum Absturz bringen (Denial of Service) und potenziell beliebigen Code ausführen.
RT-Labs · P-Net
