CVE-Datenbank

Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines individuell angepassten Flows für große Sprachmodelle. Vor Version 3.1.0 existiert der spezifische Fehler in der Methode `run` der Klasse `CSV_Agents`. Das Problem entsteht durch das fehlende ordnungsgemäße Sandboxing bei der Auswertung eines vom LLM generierten Python-Skripts. Ein Angreifer kann diese Schwachstelle ausnutzen, um Code im Kontext des Benutzers auszuführen, der den Server betreibt. Mithilfe von Prompt-Injection-Techniken kann ein nicht authentifizierter Angreifer, der Prompts an einen Chatflow mit dem CSV-Agent-Knoten senden kann, ein LLM dazu bringen, mit einem bösartigen Python-Skript zu antworten, das vom Angreifer kontrollierte Befehle auf dem Flowise-Server ausführt. Diese Schwachstelle ist in Version 3.1.0 behoben.

Im Linux-Kernel wurde die folgende Schwachstelle behoben: crypto: algif_aead – Rückkehr zum Betrieb out-of-place Damit wird der Commit 72548b093ee3 weitgehend rückgängig gemacht, mit Ausnahme des Kopierens der zugehörigen Daten. Der Betrieb in-place in algif_aead bietet keinen Vorteil, da Quelle und Ziel aus unterschiedlichen Mappings stammen. Die gesamte für den Betrieb in-place hinzugefügte Komplexität wird entfernt, und die AD wird einfach direkt kopiert.

Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines benutzerdefinierten Large-Language-Model-Flows. Vor 3.1.0 kann ein authentifizierter Angreifer aufgrund der unsicheren Serialisierung von stdio-Befehlen im MCP-Adapter einen MCP-stdio-Server mit einem beliebigen Befehl hinzufügen und dadurch eine Befehlsausführung erreichen. Die Schwachstelle liegt in einem Fehler bei der Eingabebereinigung aus der „Custom MCP“-Konfiguration in http://localhost:3000/canvas – dort kann jeder Benutzer einen neuen MCP hinzufügen; dabei kann der Benutzer beim Hinzufügen eines neuen MCP über stdio einen beliebigen Befehl hinzufügen, obwohl der Code Eingabebereinigungsprüfungen wie validateCommandInjection und validateArgsForLocalFileAccess sowie eine Liste vordefinierter spezifischer sicherer Befehle enthält – diese Befehle, beispielsweise "npx", können mit Argumenten zur Codeausführung ("-c touch /tmp/pwn") kombiniert werden, die eine direkte Codeausführung auf dem zugrunde liegenden Betriebssystem ermöglichen. Diese Schwachstelle wurde in 3.1.0 behoben.

Claude Code ist ein agentisches Coding-Tool. In Versionen vor 2.1.75 unter Windows lud Claude Code die systemweite Standardkonfiguration aus C:\ProgramData\ClaudeCode\managed-settings.json, ohne Verzeichnisbesitz oder Zugriffsberechtigungen zu validieren. Da das ProgramData-Verzeichnis standardmäßig für nicht-administrative Benutzer beschreibbar ist und das ClaudeCode-Unterverzeichnis weder vorab erstellt noch zugriffsbeschränkt war, konnte ein lokaler Benutzer mit niedrigen Privilegien dieses Verzeichnis erstellen und eine bösartige Konfigurationsdatei ablegen, die automatisch für jeden Benutzer geladen würde, der Claude Code auf demselben Rechner startet. Eine Ausnutzung hätte ein gemeinsam genutztes Windows-System mit mehreren Benutzern und einen Opferbenutzer erfordert, der Claude Code startet, nachdem die bösartige Konfiguration abgelegt wurde. Dieses Problem wurde in Version 2.1.75 behoben.

Out-of-bounds-Lesen in Windows HTTP.sys ermöglicht es einem nicht autorisierten Angreifer, über ein Netzwerk einen Denial-of-Service zu verursachen.

Unzureichende Granularität der Zugriffskontrolle in Microsoft Defender ermöglicht es einem autorisierten Angreifer, lokal Berechtigungen zu erhöhen.

Double free in Windows IKE Extension ermöglicht es einem nicht autorisierten Angreifer, Code über ein Netzwerk auszuführen.

Eine Schwachstelle durch unsachgemäße Neutralisierung von speziellen Elementen, die in einem OS-Befehl verwendet werden ('os command injection') in Fortinet FortiSandbox 4.4.0 bis 4.4.8 kann es einem Angreifer ermöglichen, nicht autorisierten Code oder Befehle via <insert attack vector here> auszuführen

Eine unsachgemäße Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal') [CWE-22]-Schwachstelle in Fortinet FortiOS 7.6.0 bis 7.6.4, FortiOS 7.4.0 bis 7.4.9, FortiOS 7.2 alle Versionen, FortiOS 7.0 alle Versionen, FortiOS 6.4 alle Versionen, FortiPAM 1.7.0, FortiPAM 1.6 alle Versionen, FortiPAM 1.5 alle Versionen, FortiPAM 1.4 alle Versionen, FortiPAM 1.3 alle Versionen, FortiPAM 1.2 alle Versionen, FortiPAM 1.1 alle Versionen, FortiPAM 1.0 alle Versionen, FortiProxy 7.6.0 bis 7.6.4, FortiProxy 7.4.0 bis 7.4.11, FortiProxy 7.2 alle Versionen, FortiProxy 7.0 alle Versionen, FortiSwitchManager 7.2.0 bis 7.2.7, FortiSwitchManager 7.0.0 bis 7.0.6 kann es einem authentifizierten Angreifer mit Admin-Profil und mindestens Lese- und Schreibberechtigungen ermöglichen, über bestimmte CLI-Befehle beliebige Dateien zu schreiben oder zu löschen.

LiteLLM bis 2026-04-08 ermöglicht Remote-Angreifern die Ausführung beliebigen Codes mittels Bytecode-Rewriting über den URI /guardrails/test_custom_code.

Schwachstelle durch fehlende Verschlüsselung sensibler Daten in Apache Tomcat, da der Fix für CVE-2026-29146 die Umgehung des EncryptInterceptor ermöglicht. Dieses Problem betrifft Apache Tomcat: 11.0.20, 10.1.53, 9.0.116. Benutzern wird empfohlen, auf Version 11.0.21, 10.1.54 oder 9.0.117 zu aktualisieren, die das Problem beheben.

marimo ist ein reaktives Python-Notebook. Vor 0.23.0 weist Marimo eine Pre-Auth-RCE-Schwachstelle auf. Der Terminal-WebSocket-Endpunkt /terminal/ws verfügt über keine Authentifizierungsvalidierung, sodass ein nicht authentifizierter Angreifer eine vollständige PTY-Shell erlangen und beliebige Systembefehle ausführen kann. Im Gegensatz zu anderen WebSocket-Endpunkten (z. B. /ws), die korrekt validate_auth() zur Authentifizierung aufrufen, prüft der Endpunkt /terminal/ws vor dem Akzeptieren von Verbindungen nur den Ausführungsmodus und die Plattformunterstützung und überspringt dabei die Authentifizierungsprüfung vollständig. Diese Schwachstelle ist in 0.23.0 behoben.

Vite ist ein Frontend-Tooling-Framework für JavaScript. Von 7.1.0 bis vor 7.3.2 und 8.0.5 können auf dem Vite-Dev-Server Dateien, die von server.fs.deny blockiert werden sollten (z. B. .env, *.crt), mit HTTP-200-Antworten abgerufen werden, wenn Abfrageparameter wie ?raw, ?import&raw oder ?import&url&inline angehängt werden. Diese Schwachstelle ist in 7.3.2 und 8.0.5 behoben.

LiteLLM ist ein Proxyserver (AI Gateway) zum Aufrufen von LLM-APIs im OpenAI-Format (oder nativen Format). Vor 1.83.0 erzwingt der Endpunkt /config/update keine Autorisierung der Admin-Rolle. Ein bereits auf der Plattform authentifizierter Benutzer kann diesen Endpunkt dann nutzen, um die Proxy-Konfiguration und Umgebungsvariablen zu ändern, benutzerdefinierte Pass-Through-Endpunkthandler zu registrieren, die auf von einem Angreifer kontrollierten Python-Code verweisen, wodurch Remote Code Execution erreicht wird, beliebige Serverdateien durch Setzen von UI_LOGO_PATH und Abrufen über /get_image zu lesen und andere privilegierte Konten durch Überschreiben der Umgebungsvariablen UI_USERNAME und UI_PASSWORD zu übernehmen. Behoben in v1.83.0.

Eine Schwachstelle durch unzureichende Zugriffskontrolle in Fortinet FortiClientEMS 7.4.5 bis 7.4.6 kann es einem nicht authentifizierten Angreifer ermöglichen, durch manipulierte Anfragen nicht autorisierten Code oder unautorisierte Befehle auszuführen.

Use after free in Dawn in Google Chrome vor 146.0.7680.178 ermöglichte es einem Remote-Angreifer, der den Renderer-Prozess kompromittiert hatte, über eine speziell erstellte HTML-Seite beliebigen Code auszuführen. (Chromium-Sicherheitsschweregrad: Hoch)