Security

Eine Sicherheitslücke in Paperless-ngx ermöglicht es jedem angemeldeten Benutzer, Inhalte fremder Dokumente und Benutzerdaten auszulesen, obwohl keine entsprechenden Berechtigungen vorliegen.

Eine Schwachstelle in Paperless-ngx ermöglicht es Benutzern, auf E-Mail-Passwörter anderer Nutzer zuzugreifen, indem sie die Test-Funktion für E-Mail-Konten mit fremden Account-IDs missbrauchen.

Eine Schwachstelle in Paperless-ngx ermöglicht es authentifizierten Benutzern, öffentliche Links für beliebige Dokumente zu erstellen, auch wenn sie keine Berechtigung zum Anzeigen dieser Dokumente haben, wodurch vertrauliche Inhalte unerlaubt zugänglich werden.

Eine Schwachstelle in Paperless-ngx ermöglicht es authentifizierten Benutzern mit Berechtigung zum Hinzufügen von Nutzern, durch einen Typumwandlungsfehler Superuser-Konten zu erstellen und dadurch ihre Privilegien zu erweitern.

Eine Schwachstelle in Paperless-ngx ermöglicht es authentifizierten Benutzern, E-Mail-Konto-Metadaten und E-Mail-Regeln anderer Benutzer über die globale Suchfunktion einzusehen, obwohl sie dazu keine Berechtigung haben sollten.

Eine Schwachstelle in Paperless-ngx ermöglicht es Benutzern mit Löschberechtigung, Administrator-Konten zu löschen, obwohl sie selbst keine Administratoren sind, da die Berechtigungsprüfung beim Löschen von Benutzern fehlerhaft implementiert ist.

Immich-Fotoverwaltungssoftware prüft bei OAuth2-Anmeldungen den State-Parameter nicht, wodurch Angreifer fremde Konten übernehmen können, indem sie Nutzer dazu bringen, manipulierte Login-Links zu öffnen.

Die Foto-Management-Software Immich überträgt Passwörter für geteilte Alben als sichtbare URL-Parameter, wodurch diese in Browser-Verlauf, Server-Logs und anderen Systemen gespeichert werden und unbefugt eingesehen werden können.

Eine Sicherheitslücke in der Immich-Software ermöglicht es API-Schlüsseln, ihre eigenen Berechtigungen zu erweitern und sich selbst Administratorrechte zu gewähren, ohne dass dies ordnungsgemäß überprüft wird.

Eine Schwachstelle in der Immich-Fotoverwaltungssoftware ermöglicht es authentifizierten Nutzern, schädlichen JavaScript-Code in 360°-Panoramabildern zu verstecken, der dann im Browser anderer Nutzer ausgeführt wird, wenn diese die OCR-Texterkennungsfunktion aktivieren.

Eine Schwachstelle in der Immich-Fotoverwaltungssoftware ermöglicht es registrierten Benutzern, Opfer durch manipulierte Album-Namen auf beliebige Websites umzuleiten, was Phishing-Angriffe zur Passwort-Diebstahl erleichtert.

Eine Schwachstelle in Immich ermöglicht es Angreifern, durch einen manipulierten Link vollständige Kontrolle über Benutzerkonten zu erlangen, indem schädlicher JavaScript-Code ausgeführt und ein dauerhafter API-Schlüssel erstellt wird.

Eine kritische Sicherheitslücke in Home Assistant ermöglichte es Angreifern, die Authentifizierung zu umgehen und auf die Supervisor-API zuzugreifen. Betroffen waren Home Assistant OS und Supervised-Installationen mit Supervisor 2023.03.2 oder älter.

Eine Schwachstelle in der Home Assistant iOS/macOS App bis Version 2023.4 ermöglicht es Angreifern, über bösartige Links oder QR-Codes beliebige Dienste im Home Assistant System des Opfers auszuführen, was zu Systemkompromittierung führen kann.

Eine Schwachstelle in Home Assistant Core ermöglicht es Angreifern, über den hassio.addon_stdin Service unerlaubte Anfragen an interne Supervisor-APIs zu senden, was zu Ferncode-Ausführung führen kann.

Die Home Assistant Android-App bis Version 2023.8.2 kann beliebige URLs in einer WebView laden, wodurch Angreifer schädlichen JavaScript-Code ausführen und Anmeldedaten stehlen können.

Eine Schwachstelle in Home Assistant's GitHub Actions ermöglicht es Angreifern, Befehle einzuschleusen und dadurch geheime Daten zu stehlen oder das Repository zu manipulieren.

Home Assistant Core setzt keine HTTP-Sicherheitsheader wie X-Frame-Options, wodurch Angreifer Nutzer durch Clickjacking-Angriffe dazu bringen können, schädliche Add-ons zu installieren und damit Fernzugriff auf das System zu erlangen.

Eine Schwachstelle in Home Assistant Core ermöglicht es Angreifern, bösartige Links zu erstellen, die das Frontend dazu zwingen, sich mit einem gefälschten WebSocket-Server zu verbinden, was zu Cross-Site-Scripting-Angriffen und vollständiger Systemübernahme führen kann.

Home Assistant Core hat eine Schwachstelle, bei der Webhooks über öffentliche URLs ohne Authentifizierung ausgelöst werden können, obwohl sie als nur lokal zugänglich konfiguriert sind.

Eine Schwachstelle in Home Assistant Core ermöglicht es Angreifern, schädlichen JavaScript-Code über manipulierte Login-Weiterleitungen auszuführen, was zur vollständigen Übernahme des Home Assistant-Kontos und der Installation führen kann.

Home Assistant Core hat eine Schwachstelle im Login-System, bei der Angreifer die Weiterleitung manipulieren können, um Zugangsdaten zu stehlen, wenn Nutzer auf präparierte Links klicken und ihre Installation öffentlich zugänglich ist.

Home Assistant Core zeigt auf der Anmeldeseite alle aktiven Benutzerkonten an, ohne dass eine Authentifizierung erforderlich ist, wenn die Anfrage aus dem lokalen Netzwerk stammt.

Home Assistant Core hat eine Schwachstelle bei der SSL-Zertifikatsprüfung, wodurch Man-in-the-Middle-Angriffe möglich werden. Durch falsche Verwendung des ssl-Parameters in HTTP-Anfragen wird die Zertifikatsprüfung unbeabsichtigt deaktiviert, was Angreifern ermöglicht, verschlüsselte Verbindungen ab

Home Assistant Core ist anfällig für Cross-Site-Scripting-Angriffe, wenn bösartige HTML-Inhalte in Entitätsnamen eingefügt werden, die dann in der Energie-Dashboard-Ansicht beim Überfahren mit der Maus ausgeführt werden.

Eine Schwachstelle in Home Assistant Core ermöglicht es authentifizierten Benutzern, schädlichen Code in Gerätenamen einzufügen, der dann als Cross-Site-Scripting-Angriff auf andere Benutzer ausgeführt wird, wenn diese über Datenpunkte in Karten-Dashboards fahren.

Eine Schwachstelle in Home Assistant Core ermöglicht Cross-Site-Scripting-Angriffe über bösartige Sensornamen in Verlaufsdiagrammen, wodurch Angreifer JavaScript-Code in anderen Benutzersitzungen ausführen und Konten übernehmen können.

Home Assistant Apps mit Host-Netzwerk-Modus machen interne Docker-Schnittstellen fälschlicherweise für das lokale Netzwerk erreichbar, wodurch Angreifer ohne Authentifizierung auf kritische Funktionen wie Shell-Zugang zugreifen können.

Eine Sicherheitslücke in den Home Assistant Companion Apps für Android und iOS ermöglicht es bösartigen Webseiten in eingebetteten Frames, die Zugangstokens von angemeldeten Nutzern zu stehlen und damit vollen Zugriff auf deren Smart-Home-System zu erlangen.