AWARE7 CVE Advisory Hub

[CVE-2026-25230] HTML Injection über Color-Property in FileRise File-Tags

security@a7.de (AWARE7 GmbH) — Sun, 08 Feb 2026 00:00:00 GMT

FileRise validiert das color-Attribut bei Datei-Tags nicht ausreichend - ein authentifizierter Nutzer kann darüber schadhaftes HTML in die Oberfläche anderer Nutzer einschleusen. | Schweregrad: Mittel | CVSS: 4.6 | Betrifft: FileRise <= 3.2.3

[CVE-2026-25231] Unauthenticated File Read durch fehlende Zugriffskontrolle in FileRise

security@a7.de (AWARE7 GmbH) — Sun, 08 Feb 2026 00:00:00 GMT

FileRise schützt das Upload-Verzeichnis nicht ausreichend - hochgeladene Dateien lassen sich ohne jede Authentifizierung direkt herunterladen, sofern der Dateipfad bekannt oder erraten wird. | Schweregrad: Hoch | CVSS: 7.5 | Betrifft: FileRise <= 3.2.3

[CVE-2026-24897] Remote Code Execution über Arbitrary File Upload in Erugo

security@a7.de (AWARE7 GmbH) — Wed, 28 Jan 2026 00:00:00 GMT

Ein authentifizierter, niedrig privilegierter Nutzer kann in der Self-Hosted-Filesharing-Plattform Erugo beliebige Dateien in beliebige Pfade hochladen und darüber Schadcode im öffentlichen Web-Root ausführen - vollständige Kompromittierung der Instanz möglich. | Schweregrad: Hoch | CVSS: 8.8 | Betrifft: Erugo <= 0.2.14

[CVE-2026-22605] Insecure Direct Object Reference in OpenProject Meetings

security@a7.de (AWARE7 GmbH) — Fri, 09 Jan 2026 00:00:00 GMT

Nutzer mit der Berechtigung 'Meetings ansehen' in einem beliebigen OpenProject-Projekt können über eine fehlerhafte Berechtigungsprüfung Meeting-Details aus Projekten einsehen, auf die sie eigentlich keinen Zugriff haben. | Schweregrad: Mittel | CVSS: 4.3 | Betrifft: OpenProject <= 16.6.2

[CVE-2025-53533] Reflected Cross-Site Scripting in Pi-hole Web Interface

security@a7.de (AWARE7 GmbH) — Mon, 27 Oct 2025 00:00:00 GMT

Eine Reflected-XSS-Schwachstelle in der 404-Fehlerseite des Pi-hole Web Interface ermöglicht es Angreifern, über einen manipulierten URL-Pfad beliebigen JavaScript-Code im Browser des Opfers auszuführen. | Schweregrad: Mittel | CVSS: 6.1 | Betrifft: Pi-hole Web Interface <= 6.2.1

[CVE-2025-43579] Information Exposure in Adobe Acrobat Reader

security@a7.de (AWARE7 GmbH) — Tue, 10 Jun 2025 00:00:00 GMT

Eine Information-Exposure-Schwachstelle in Adobe Acrobat Reader ermöglicht es einem Angreifer mit lokalem Systemzugriff, eine Sicherheitsfunktion zu umgehen und ohne Nutzerinteraktion Zugriff auf vertrauliche Daten zu erlangen. | Schweregrad: Mittel | CVSS: 5.5 | Betrifft: Adobe Acrobat Reader 24.001.30235 und früher, 20.005.30763 und früher, 25.001.20521 und früher

[CVE-2024-4187] Stored Cross-Site Scripting in OpenText Filr

security@a7.de (AWARE7 GmbH) — Wed, 31 Jul 2024 00:00:00 GMT

Eine Stored-XSS-Schwachstelle im Enterprise-File-Sharing-Produkt OpenText Filr sorgt dafür, dass Nutzer beim Anklicken von Links nicht mehr vor externen Zielen gewarnt werden und schadhafter Code eingeschleust werden kann. | Schweregrad: Mittel | CVSS: 5.4 | Betrifft: OpenText Filr 24.1.1, 24.2

[CVE-2024-33668] Insecure Direct Object Reference im Zammad Upload Cache

security@a7.de (AWARE7 GmbH) — Thu, 25 Apr 2024 00:00:00 GMT

Der Zammad Upload Cache verwendet unsichere, teilweise erratbare Form-IDs zur Identifikation hochgeladener Inhalte - ein Angreifer kann diese erraten, um schadhafte Inhalte in fremde Artikel-Entwürfe einzuschleusen, auf die er keinen Zugriff hat. | Schweregrad: Kritisch | CVSS: 9.1 | Betrifft: Zammad 6.2.0 - 6.2.x (< 6.3.0)

[CVE-2023-0865] Missing Authorization in WooCommerce Multiple Customer Addresses & Shipping

security@a7.de (AWARE7 GmbH) — Mon, 20 Mar 2023 00:00:00 GMT

Eine fehlende Autorisierung im WooCommerce Multiple Customer Addresses & Shipping Plugin ermöglicht es authentifizierten Angreifern (Subscriber-Rolle und höher), Adressen anderer Kunden zu erstellen, zu ändern und zu löschen. | Schweregrad: Hoch | CVSS: 8.8 | Betrifft: WooCommerce Multiple Customer Addresses & Shipping < 21.7

[CVE-2021-32793] Stored Cross-Site Scripting in Pi-hole AdminLTE Web Interface

security@a7.de (AWARE7 GmbH) — Wed, 04 Aug 2021 00:00:00 GMT

Eine Stored-XSS-Schwachstelle in der Block-/Allowlist-Verwaltung des Pi-hole AdminLTE Web Interface erlaubt es einem bereits authentifizierten Angreifer, über eine manipulierte Wildcard-Domain schadhaften JavaScript-Code im Admin-Kontext auszuführen. | Schweregrad: Mittel | CVSS: 5.7 | Betrifft: Pi-hole AdminLTE Web Interface < 5.5.1