Responsible Disclosure

CVE Advisory Hub

Sicherheitslücken, die von AWARE7-Researchers entdeckt und nach dem Responsible-Disclosure-Prinzip veröffentlicht wurden. Technische Analysen, CVSS-Scores und konkrete Gegenmaßnahmen.

RSS Feed Alle F&E-Aktivitäten

Schwachstellen

veröffentlicht

CVE-2026-25230 Mittel · 4.6 Web

HTML Injection über Color-Property in FileRise File-Tags

FileRise validiert das color-Attribut bei Datei-Tags nicht ausreichend - ein authentifizierter Nutzer kann darüber schadhaftes HTML in die Oberfläche anderer Nutzer einschleusen.

FileRise · <= 3.2.3 · Entdeckt von Marcel Graf

8. Feb. 2026

CVE-2026-25231 Hoch · 7.5 Web

Unauthenticated File Read durch fehlende Zugriffskontrolle in FileRise

FileRise schützt das Upload-Verzeichnis nicht ausreichend - hochgeladene Dateien lassen sich ohne jede Authentifizierung direkt herunterladen, sofern der Dateipfad bekannt oder erraten wird.

FileRise · <= 3.2.3 · Entdeckt von Marcel Graf

8. Feb. 2026

CVE-2026-24897 Hoch · 8.8 Web

Remote Code Execution über Arbitrary File Upload in Erugo

Ein authentifizierter, niedrig privilegierter Nutzer kann in der Self-Hosted-Filesharing-Plattform Erugo beliebige Dateien in beliebige Pfade hochladen und darüber Schadcode im öffentlichen Web-Root ausführen - vollständige Kompromittierung der Instanz möglich.

Erugo · <= 0.2.14 · Entdeckt von Leon Phan

28. Jan. 2026

CVE-2026-22605 Mittel · 4.3 Web

Insecure Direct Object Reference in OpenProject Meetings

Nutzer mit der Berechtigung 'Meetings ansehen' in einem beliebigen OpenProject-Projekt können über eine fehlerhafte Berechtigungsprüfung Meeting-Details aus Projekten einsehen, auf die sie eigentlich keinen Zugriff haben.

OpenProject · <= 16.6.2 · Entdeckt von Elisa Popowicz

9. Jan. 2026

CVE-2025-53533 Mittel · 6.1 Netzwerk

Reflected Cross-Site Scripting in Pi-hole Web Interface

Eine Reflected-XSS-Schwachstelle in der 404-Fehlerseite des Pi-hole Web Interface ermöglicht es Angreifern, über einen manipulierten URL-Pfad beliebigen JavaScript-Code im Browser des Opfers auszuführen.

Pi-hole Web Interface · <= 6.2.1 · Entdeckt von Vincent Heinen

27. Okt. 2025

CVE-2025-43579 Mittel · 5.5 Desktop

Information Exposure in Adobe Acrobat Reader

Eine Information-Exposure-Schwachstelle in Adobe Acrobat Reader ermöglicht es einem Angreifer mit lokalem Systemzugriff, eine Sicherheitsfunktion zu umgehen und ohne Nutzerinteraktion Zugriff auf vertrauliche Daten zu erlangen.

Adobe Acrobat Reader · 24.001.30235 und früher, 20.005.30763 und früher, 25.001.20521 und früher · Entdeckt von Vincent Heinen

10. Juni 2025

CVE-2024-4187 Mittel · 5.4 Web

Stored Cross-Site Scripting in OpenText Filr

Eine Stored-XSS-Schwachstelle im Enterprise-File-Sharing-Produkt OpenText Filr sorgt dafür, dass Nutzer beim Anklicken von Links nicht mehr vor externen Zielen gewarnt werden und schadhafter Code eingeschleust werden kann.

OpenText Filr · 24.1.1, 24.2 · Entdeckt von Dima Pravytskyi

31. Juli 2024

CVE-2024-33668 Kritisch · 9.1 Web

Insecure Direct Object Reference im Zammad Upload Cache

Der Zammad Upload Cache verwendet unsichere, teilweise erratbare Form-IDs zur Identifikation hochgeladener Inhalte - ein Angreifer kann diese erraten, um schadhafte Inhalte in fremde Artikel-Entwürfe einzuschleusen, auf die er keinen Zugriff hat.

Zammad · 6.2.0 - 6.2.x (< 6.3.0) · Entdeckt von Johannes Ludwig

25. Apr. 2024

CVE-2023-0865 Hoch · 8.8 Web

Missing Authorization in WooCommerce Multiple Customer Addresses & Shipping

Eine fehlende Autorisierung im WooCommerce Multiple Customer Addresses & Shipping Plugin ermöglicht es authentifizierten Angreifern (Subscriber-Rolle und höher), Adressen anderer Kunden zu erstellen, zu ändern und zu löschen.

WooCommerce Multiple Customer Addresses & Shipping · < 21.7 · Entdeckt von Vincent Heinen

20. März 2023

CVE-2021-32793 Mittel · 5.7 Netzwerk

Stored Cross-Site Scripting in Pi-hole AdminLTE Web Interface

Eine Stored-XSS-Schwachstelle in der Block-/Allowlist-Verwaltung des Pi-hole AdminLTE Web Interface erlaubt es einem bereits authentifizierten Angreifer, über eine manipulierte Wildcard-Domain schadhaften JavaScript-Code im Admin-Kontext auszuführen.

Pi-hole AdminLTE Web Interface · < 5.5.1 · Entdeckt von Moritz Gruber

4. Aug. 2021

Unser Ansatz

Responsible Disclosure

Entdecken wir eine Schwachstelle, informieren wir den betroffenen Hersteller zunächst vertraulich und geben ihm ausreichend Zeit zur Behebung. Erst nach einem festgelegten Zeitraum oder nach Veröffentlichung eines Patches veröffentlichen wir unsere Erkenntnisse.

Dieses Prinzip schützt Nutzer und Unternehmen - und trägt zu einer nachhaltigen Verbesserung der Software-Sicherheit bei.

Entdeckung

Schwachstelle wird im Rahmen von Forschung oder Kundenprojekten identifiziert.

Meldung

Hersteller wird vertraulich über die Schwachstelle informiert.

Koordination

Gemeinsame Abstimmung über Behebung und Veröffentlichungszeitpunkt.

Veröffentlichung

Advisory mit vollständiger technischer Analyse und CVE-Nummer wird veröffentlicht.

Schwachstellen in Ihrer Software melden

Haben Sie eine Sicherheitslücke in einem Produkt gefunden? Kontaktieren Sie uns für eine koordinierte Offenlegung.

Kostenlose Erstberatung vereinbaren Penetrationstest anfragen

Kostenlos · 30 Minuten · Unverbindlich