WAF Fragenkatalog

1 Welche TLS/SSL-Version soll der ALG-Dienst im Frontend unterstützen?

ⓘ

Hierbei handelt es sich um die verschlüsselte Verbindung zwischen Client/Benutzer und dem ALG-Dienst. Die Verschlüsselung gibt der ALG-Dienst vor.

TLS 1.2 TLS 1.3 TLS 1.2 + TLS 1.3 Standard TLS 1.1 TLS 1.0

2 Welche TLS/SSL-Version soll der ALG-Dienst im Backend nutzen/unterstützen?

ⓘ

Die Backend-Verschlüsselung wird vom Verfahrensserver vorgegeben.

TLS 1.2 TLS 1.3 TLS 1.2 + TLS 1.3 Standard TLS 1.1 TLS 1.0 Keine Verschlüsselung (HTTP)

3 Der ALG-Dienst hat im Default kein WebSocket aktiviert. Benötigt das Verfahren zwingend WebSocket?

ⓘ

Viele Verfahren haben ein Fallback und müssen nicht zwingend WebSocket nutzen. Die Aktivierung von WebSocket erfordert eine Ausnahmegenehmigung.

Was ist WebSocket?

WebSocket ermöglicht eine dauerhafte, bidirektionale Verbindung zwischen Client und Server — im Gegensatz zu HTTP, wo der Client immer die Anfrage stellen muss.

👤 Client
(Browser/App)

1 HTTP Upgrade-Request
Wechsel zu WebSocket-Protokoll

101 Switching Protocols
Verbindung bestätigt 2

3 ⇆ Echtzeit-Kommunikation (bidirektional)

🗎 ALG-Dienst
(Server)

Typische Einsatzbereiche

💬 Chat & Messaging: Echtzeit-Chatsysteme wie Slack oder Teams nutzen WebSocket für sofortige Nachrichtenzustellung ohne ständiges Polling.
📈 Live-Daten & Dashboards: Börsenkurse, Monitoring-Dashboards oder IoT-Sensordaten, die sich sekündlich aktualisieren müssen.
🔔 Benachrichtigungen & Aufgaben: Fachanwendungen melden Statuswechsel, Freigaben oder neue Aufgaben sofort an die Nutzer, ohne dass die Seite neu geladen werden muss.
📋 Kollaboratives Arbeiten: Tools wie Google Docs synchronisieren Änderungen mehrerer Nutzer gleichzeitig über WebSocket.

Alternativen ohne Ausnahmegenehmigung

Benötigt das Verfahren nur gelegentliche oder nicht sekundengenaue Aktualisierungen, kommt es meist mit einem dieser Verfahren über normales HTTP aus:

🔄 Polling (Kurzabfrage): Der Client fragt in festen Abständen (etwa alle 30 Sekunden) beim Server nach, ob es etwas Neues gibt. Einfach umzusetzen, erzeugt aber auch dann Last, wenn sich nichts geändert hat, und Neuigkeiten treffen erst beim nächsten Intervall ein.
⏳ Long Polling: Der Client stellt eine normale HTTP-Anfrage, die der Server jedoch offen hält, bis tatsächlich ein Ereignis vorliegt oder ein Zeitlimit erreicht ist. Erst dann antwortet er, und der Client stellt sofort die nächste Anfrage. So erreichen Neuigkeiten den Client nahezu in Echtzeit, ohne dauerhafte Verbindung und ohne Leerabfragen im Sekundentakt. Für den ALG-Dienst bleibt jede Antwort eine gewöhnliche, einzeln prüfbare HTTP-Antwort.
📡 Server-Sent Events (SSE): Eine einzelne, vom Server offen gehaltene HTTP-Verbindung, über die der Server fortlaufend Nachrichten an den Client schickt. Nur eine Richtung (Server zu Client), dafür ohne Protokollwechsel und mit automatischem Wiederverbinden durch den Browser.

Diese Verfahren laufen über normales HTTP und benötigen keine Ausnahmegenehmigung. Erst wenn echte bidirektionale Kommunikation mit sehr geringer Latenz nachweislich erforderlich ist, ist WebSocket gerechtfertigt.

🔒 Sicherheitsbetrachtung

WebSocket ist aus sicherheitstechnischer Sicht anspruchsvoller als klassisches HTTP: Die dauerhafte Verbindung erschwert die klassische Filterung und Inspektion durch den ALG-Dienst, da Nachrichten nach dem initialen Handshake nicht mehr als einzelne HTTP-Requests sichtbar sind. Außerdem besteht ein erhöhtes Risiko für Cross-Site WebSocket Hijacking (CSWSH), wenn der Server die Herkunft (Origin) der Verbindung nicht konsequent prüft. Aus diesen Gründen erfordert die Aktivierung von WebSocket im ALG-Dienst eine Ausnahmegenehmigung und sollte nur dann beantragt werden, wenn kein technisches Fallback möglich ist.

Nein Ja

4 Welche HTTP-Protokollversion wird benötigt?

ⓘ

Wir empfehlen auf dem ALG-Dienst die gleiche HTTP-Version zu sprechen wie der Verfahrensserver, um Kompatibilitätsprobleme und unnötige Protokollkonvertierungen zu vermeiden.

HTTP/1.1 Standard HTTP/2 HTTP/3 HTTP/1.1 + HTTP/2 HTTP/1.0

5 Welche zusätzlichen HTTP-Methoden zu GET und HEAD sollen unterstützt werden?

ⓘ

Es können mehrere Methoden ausgewählt werden. GET und HEAD sind standardmäßig immer aktiv.

POST PUT PATCH DELETE OPTIONS CONNECT TRACE Sicherheitsrisiko

6 Welche FQDNs sollen den Zugriff auf den Webdienst erlauben?

ⓘ

Es können mehrere FQDNs angegeben werden. Alle angegebenen Namen müssen entweder im SAN (Subject Alternative Name) des Zertifikats enthalten sein oder es müssen mittels SNI mehrere Zertifikate gebunden werden. Das www muss nicht explizit mit angegeben werden. Wir empfehlen keinen Zugriff über eine IP-Adresse – bitte nach Möglichkeit ausschließlich FQDNs angeben.

7 Sollen bestimmte Pfade oder Dateitypen für den Zugriff über den ALG-Dienst erlaubt oder gesperrt werden?

ⓘ

Es gibt zwei unabhängige Listen: erlaubte und gesperrte Pfade/Dateien (absolute Pfade wie /admin/config.php, Pfad-Präfixe mit Platzhalter wie /admin/* oder reine Dateiendungen wie *.bak). Jeder Eintrag muss auf ein * enden oder auf eine Datei zeigen – ein einzelner / oder ein Pfad ohne * bzw. Datei ist nicht zulässig. Ohne Angaben erfolgt keine Kontrolle. Werden nur gesperrte Pfade angegeben, bleiben alle anderen Pfade weiterhin erreichbar. Sobald mindestens ein erlaubter Pfad angegeben wird, wechselt das Regelwerk in den Whitelist-Modus: Dann sind ausschließlich die dort gelisteten Pfade erreichbar – alle für das Verfahren benötigten Pfade müssen dann vollständig aufgeführt werden.

✅ Erlaubte Pfade/Dateien (Positivliste)

🚫 Gesperrte Pfade/Dateien (Negativliste)

Über die Kategorien lassen sich typische kritische Muster mit einem Klick übernehmen (bereits vorhandene Einträge werden nicht doppelt hinzugefügt):

🔍 Vorschau: Beispielhafte Pfade

Zeigt anhand einiger Beispiel-Pfade, wie sich die aktuelle Kombination aus Positiv- und Negativliste auswirkt. Rein illustrativ – es wird kein echter Datenverkehr geprüft.

8 Wie lang darf eine URL maximal sein?

ⓘ

Gemeint ist die maximal zulässige Länge der URL (Pfad + Query-String), die der ALG-Dienst durchlässt. Standard sind 2048 Zeichen. Da bei GET-Anfragen sämtliche Parameter Teil der URL sind, kann die URL bei manchen Anwendungsfällen (z. B. SSO/SAML-Weiterleitungen, umfangreiche Such-/Filterformulare) auch mal deutlich länger ausfallen – das ist nicht automatisch ein Fehler.

1024 Zeichen 2048 Zeichen Standard 4096 Zeichen 8192 Zeichen 16384 Zeichen Individuell: Zeichen

9 Wie viele Zeichen darf ein HTTP-Header maximal lang sein?

ⓘ

Gemeint ist die maximale Länge eines einzelnen HTTP-Headers (z. B. Authorization, Referer, X-Forwarded-For). Standard sind 4096 Zeichen. Manche Header – etwa Authorization mit einem JWT-Token oder ein langer Referer – können auch mal deutlich länger ausfallen.

1024 Zeichen 2048 Zeichen 4096 Zeichen Standard 8192 Zeichen 16384 Zeichen Individuell: Zeichen

10 Wie viele Zeichen darf ein Cookie maximal lang sein?

ⓘ

Gemeint ist die maximale Länge des Cookie-Headers, den der Browser bei jeder Anfrage automatisch mitsendet (alle Cookies der Domain zusammen). Standard sind 4096 Zeichen. Session- oder JWT-Tokens in Cookies können diesen Wert je nach Verfahren ausschöpfen.

1024 Zeichen 2048 Zeichen 4096 Zeichen Standard 8192 Zeichen 16384 Zeichen Individuell: Zeichen

11 Wie groß darf der Request-Body maximal sein?

ⓘ

Gemeint ist die maximale Größe des Anfrage-Bodys, z. B. bei POST-/PUT-Anfragen oder Datei-Uploads. Standard sind 20 MB. Anders als bei GET (Frage 8) werden die Nutzdaten hier nicht in der URL, sondern im Body übertragen.

1 MB 5 MB 10 MB 20 MB Standard 50 MB 100 MB Individuell: MB

12 Wie viele HTTP-Header darf eine Anfrage maximal enthalten?

ⓘ

Gemeint ist die Anzahl der einzelnen Header-Felder einer Anfrage (nicht deren Länge, siehe Frage 9). Standard sind 100 Header. Anfragen über mehrere Proxy-Hops oder mit vielen Custom-Headern können mehr benötigen.

20 Header 50 Header 100 Header Standard 200 Header 500 Header Individuell: Header

13 Gibt es auf der Webseite Stellen, an denen Daten vom Nutzer entgegengenommen bzw. übertragen werden?

ⓘ

Gemeint sind alle Stellen, an denen die Anwendung Eingaben entgegennimmt und verarbeitet – z. B. Kontaktformular, Suchfeld, Login, Kommentarfunktion oder Datei-Upload. Bei „Ja“ prüft der ALG-Dienst diese Inhalte zusätzlich auf Cross-Site Scripting (XSS), SQL-Injection und Command Injection.

Warum prüfen wir auf XSS, SQL-Injection und Command Injection?

Überall dort, wo eine Anwendung Nutzereingaben entgegennimmt und weiterverarbeitet, können Angreifer versuchen, Schadcode statt der erwarteten Daten einzuschleusen. Der ALG-Dienst kann solche Eingaben zusätzlich prüfen, bevor sie den Verfahrensserver erreichen.

Cross-Site Scripting (XSS): Angreifer schleusen JavaScript-Code ein, der im Browser anderer Nutzer:innen ausgeführt wird – z. B. um Sitzungsdaten zu stehlen oder Inhalte zu manipulieren. Nicht nur über Formularfelder: reflektiert (Payload steckt direkt in URL-/Query-Parametern und wird sofort in der Antwort gespiegelt), gespeichert (Payload landet in der Datenbank, z. B. über Kommentare oder Profilfelder, und trifft spätere Besucher:innen) oder DOM-basiert (Payload wird rein clientseitig per JavaScript verarbeitet, ohne dass der Server sie je zu Gesicht bekommt).
SQL-Injection: Angreifer manipulieren Datenbankabfragen über Eingabefelder, um Daten auszulesen, zu verändern oder zu löschen – etwa durch Eingaben wie ' OR '1'='1.
Command Injection: Angreifer schleusen Betriebssystem-Befehle über Eingabefelder ein, die vom Server ungeprüft ausgeführt werden – kann zur vollständigen Kompromittierung des Servers führen.
Weitere Einfallstore neben dem Kontaktformular: Datei-Uploads (z. B. eine SVG- oder HTML-Datei mit eingebettetem Skript), Cookies oder HTTP-Header (z. B. Referer, User-Agent), wenn die Anwendung sie ungefiltert wieder ausgibt, sowie Nachrichten über WebSocket-Verbindungen (z. B. Chat- oder Realtime-Funktionen, siehe Frage 3).

Typische Einfallstore: Kontaktformulare, Suchfelder, Kommentarfunktionen, Login-Masken, Datei-Uploads, URL-/Query-Parameter. Auch scheinbar harmlose Felder (z. B. ein Namensfeld) sollten serverseitig validiert werden – die Prüfung durch den ALG-Dienst ist eine zusätzliche Schutzschicht, ersetzt aber keine saubere Eingabevalidierung im Backend.

🔒 Wichtig

Diese Angriffsklassen zählen laut OWASP Top 10 zu den häufigsten und folgenreichsten Schwachstellen in Webanwendungen. Wird „Ja“ ausgewählt, aktiviert bzw. schärft der ALG-Dienst die Inhaltsprüfung für die betroffenen Anfragen entsprechend.

🔒 Grenzen der ALG-Prüfung

Der ALG-Dienst kann nur Inhalte prüfen, die tatsächlich über das Netzwerk laufen. DOM-basiertes XSS findet vollständig im Browser statt (z. B. über den URL-Fragment-Teil nach #, der nie zum Server übertragen wird) und ist für den ALG-Dienst daher unsichtbar – hier hilft nur sauberer, clientseitiger Code. Bei WebSocket-Verbindungen (Frage 3) kann der ALG-Dienst in der Regel nur den initialen Handshake prüfen; einzelne Nachrichten danach werden meist nicht mehr vollständig inspiziert.

Nein Ja

14 Kommt eine öffentliche API zum Einsatz?

ⓘ

Gemeint ist eine Programmierschnittstelle (API), über die andere Anwendungen, Frontends oder Partnersysteme auf das Verfahren zugreifen können – z. B. eine REST- oder SOAP-Schnittstelle. Bei „Ja“ folgen im Anschluss weitere Fragen zur Absicherung der API (Erreichbarkeit, Datenformat, Schema-Validierung).

Nein Ja

14.1 In welchen Datenformaten werden Daten übertragen? (Mehrfachauswahl möglich)

ⓘ

Gemeint ist z. B. die Anbindung über SOAP-Webservices bzw. XML-basierte Schnittstellen (XML-Format) und/oder eine RESTful API, wie sie typischerweise JSON-kodierte Daten überträgt (JSON-Format). Eine Anwendung kann auch beide Formate parallel anbieten – dann bitte beide auswählen. Wird keines ausgewählt, gilt keines der beiden Formate als im Einsatz. Beide Formate haben eigene Angriffsvektoren, für die der ALG-Dienst dedizierte Prüfungen mitbringt.

Wie prüft der ALG-Dienst XML- bzw. JSON-Daten?

XML- und JSON-Dokumente haben eigene, vom klassischen Formularfeld abweichende Angriffsvektoren. Der NetScaler bringt für beide Formate dedizierte Sicherheitsprüfungen mit (AppFirewall XML/JSON Security Checks).

Typische XML-spezifische Angriffe: XML External Entity (XXE): Das Dokument bindet externe Entitäten ein, um lokale Dateien auszulesen oder interne Systeme anzusprechen (SSRF). Entity Expansion / „XML-Bombe“ (Billion Laughs): rekursiv verschachtelte Entitäten sprengen Arbeitsspeicher/CPU. XPath-/XQuery-Injection: Manipulation von Abfragen ähnlich einer SQL-Injection. Außerdem überdimensionierte SOAP-Envelopes oder Anhänge.
Prüfmöglichkeiten des NetScaler bei XML: XML-Format-Prüfung (Wohlgeformtheit), XML-Schema-/WSDL-Validierung (Struktur- und Typkonformität gegen eine hinterlegte XSD/WSDL), XML-SQL-Injection- und XML-Cross-Site-Scripting-Prüfung (XML-bewusste Varianten der klassischen Checks), XML-Denial-of-Service-Schutz (Grenzen für Verschachtelungstiefe, Element-/Attributanzahl, Entity-Expansion, Dokumentgröße), XML-Attachment-Prüfung sowie optional XML-Message-Validation/WS-Security-Prüfung bei signierten oder verschlüsselten SOAP-Nachrichten.
Typische JSON-spezifische Angriffe: Tief verschachtelte oder sehr große JSON-Strukturen („JSON-Bombe“, vergleichbar mit XML Entity Expansion) können Parser überlasten. JSON-Injection: Einschleusen zusätzlicher Felder/Strukturen, um Backend-Logik zu manipulieren. Mass Assignment: Angreifer setzen über zusätzliche JSON-Felder Werte, die eigentlich nicht änderbar sein sollten (z. B. "role": "admin"). Unsichere Deserialisierung: Wird JSON direkt in serverseitige Objekte deserialisiert, können präparierte Payloads Code zur Ausführung bringen.
Prüfmöglichkeiten des NetScaler bei JSON: JSON-Format-Prüfung (Wohlgeformtheit), Grenzen für Verschachtelungstiefe, Array-Länge und Dokumentgröße (JSON-DoS-Schutz), JSON-SQL-Injection- und JSON-Cross-Site-Scripting-Prüfung.

Am wirksamsten ist bei XML eine Schema-Validierung gegen die tatsächlich erwartete Struktur (WSDL/XSD) – alles, was nicht dem Schema entspricht, wird abgelehnt. Ergänzend sollten externe Entitäten (DTDs) grundsätzlich deaktiviert werden, sowohl im Backend-Parser als auch – falls verfügbar – über die XML-DoS-Prüfung des ALG-Dienst. Bei JSON greifen vor allem die Grenzwerte des JSON-DoS-Schutzes (siehe Frage 14.1.2).

🔒 Wichtig

Mass Assignment und unsichere Deserialisierung lassen sich durch den ALG-Dienst allein nicht vollständig verhindern – sie erfordern zusätzlich eine saubere Implementierung im Backend (explizite Allow-Lists für änderbare Felder, sichere Deserialisierungsbibliotheken).

XML (SOAP) JSON (RESTful)

14.1.1 Liegt für die XML-Prüfung ein vollständiges XSD/WSDL-Schema vor?

ⓘ

Für die XML-Prüfung wird ein vollständiges XSD- oder WSDL-Schema benötigt. Das Schema darf keine externen Schemata nachladen (kein <xs:import>/<xs:include> auf externe URLs, keine externen DTD-Referenzen) und muss alle benötigten Definitionen vollständig selbst enthalten.

Ein vollständiges, in sich geschlossenes XSD/WSDL liegt vor bzw. wird bereitgestellt

14.1.2 JSON-Denial-of-Service-Schutz: Welche Prüfungen und Grenzwerte sollen aktiv sein?

ⓘ

Ist die JSON-Verarbeitung aktiv, aktiviert der ALG-Dienst automatisch den JSON-Denial-of-Service-Schutz. Die folgenden Einzelprüfungen sind standardmäßig aktiv und mit gängigen Grenzwerten vorbelegt, lassen sich bei Bedarf aber deaktivieren oder anpassen.

Was macht der JSON-Denial-of-Service-Schutz?

Ähnlich wie bei XML (Entity Expansion, „XML-Bombe“) können auch JSON-Dokumente so gestaltet werden, dass ihre Verarbeitung unverhältnismäßig viel Speicher oder Rechenzeit benötigt – etwa durch extrem tief verschachtelte Objekte, riesige Arrays oder überlange Zeichenketten. Der JSON-DoS-Schutz begrenzt dafür einzelne Strukturmerkmale eines JSON-Dokuments.

Max Array Length: Maximale Anzahl an Elementen in einem JSON-Array. Sehr große Arrays können beim Parsen viel Arbeitsspeicher binden.
Max Container Depth: Maximale Verschachtelungstiefe von Objekten/Arrays ineinander. Tief verschachtelte Strukturen können rekursive Parser überlasten (vergleichbar mit XML Entity Expansion).
Max Document Length: Maximale Gesamtgröße des JSON-Dokuments in Byte. Verhindert übergroße Anfragen, die Bandbreite und Speicher binden.
Max Object Key Count: Maximale Anzahl an Schlüsseln in einem JSON-Objekt. Schützt vor Objekten mit exzessiv vielen Feldern.
Max Object Key Length: Maximale Länge eines einzelnen Schlüsselnamens in Zeichen.
Max String Length: Maximale Länge eines einzelnen Zeichenketten-Werts. Verhindert überlange Strings, die z. B. beim Parsen oder Loggen zu Problemen führen können.

Die Standardwerte decken die meisten Anwendungsfälle ab. Werden sie zu niedrig gesetzt, können legitime Anfragen mit vielen Datensätzen oder tief verschachtelten Strukturen blockiert werden – bei Bedarf an das tatsächliche Datenmodell des Verfahrens anpassen, statt Prüfungen komplett zu deaktivieren.

🔒 Wichtig

Jede deaktivierte Prüfung vergrößert die Angriffsfläche für Denial-of-Service über präparierte JSON-Dokumente. Prüfungen sollten nur deaktiviert werden, wenn ein konkreter fachlicher Grund vorliegt (z. B. legitime Datensätze, die die Standardgrenzen überschreiten).

Max Array Length Max Container Depth Max Document Length Max Object Key Count Max Object Key Length Max String Length

14.2 Soll der Zugriff auf API-Endpunkte per IP-Adresse/Subnetz eingeschränkt werden?

ⓘ

Für einzelne API-Endpunkte können erlaubte oder gesperrte IP-Adressen bzw. Subnetze (CIDR-Notation, z. B. 203.0.113.0/24) hinterlegt werden – z. B. um eine interne API nur aus dem eigenen Netz erreichbar zu machen. Da ein Endpunkt oft mehrere Adressen benötigt, einfach denselben Endpunkt in mehreren Zeilen mit je einer weiteren Adresse eintragen.

Nein Ja

14.3 Liegt für die API eine Beschreibungsdatei (Spec) vor?

ⓘ

Der ALG-Dienst (NetScaler) kann eingehende API-Aufrufe strukturell gegen eine Beschreibungsdatei validieren – unterstützt werden REST über OpenAPI/Swagger (2.0, 3.0, 3.1) sowie gRPC über eine Protocol-Buffers-Definition (.proto). Ohne eine solche Datei kann die API nur eingeschränkt geprüft werden.

Nein Ja – REST (OpenAPI/Swagger) Ja – gRPC (Protocol Buffers)

15 Sollen Fehlercodes des Backends maskiert werden?

ⓘ

Antwortet ein Backend-Server hinter der WAF mit einem Fehlercode (z. B. 500 Internal Server Error, 502 Bad Gateway), kann der ALG-Dienst diesen durch eine eigene Fehlerseite mit Status Code 444 ersetzen, statt die Original-Antwort des Backends unverändert durchzureichen. Per Default werden alle Codes im Bereich 400–599 maskiert.

Ja Standard – Codes 400–599 werden maskiert Nein – Backend-Fehlerseiten werden unverändert durchgereicht

15.1 Sollen einzelne Fehlercodes von der Maskierung ausgenommen werden?

ⓘ

Optional: Einzelne Codes aus dem Bereich 400–599 können von der Maskierung ausgenommen werden (Durchlassen der Original-Antwort). Leer lassen, wenn alle Codes 400–599 maskiert werden sollen.

15.2 Welche Backend-Laufzeitumgebungen/Frameworks kommen zum Einsatz?

ⓘ

Über die reine Statuscode-Maskierung (15/15.1) hinaus erkennt der ALG-Dienst auch technologiespezifische Stacktrace-Muster in der Antwort – z. B. eine Java-Exception oder eine PHP-Fatal-Error-Ausgabe – und ersetzt diese ebenfalls durch die 444-Fehlerseite, unabhängig vom zurückgegebenen Statuscode. Bitte alle eingesetzten Backend-Technologien auswählen, damit die passenden Muster aktiviert werden.

Java (Spring Boot, Java EE, Tomcat, JBoss) .NET / ASP.NET (IIS) PHP Node.js / Express Python (Django, Flask, WSGI) Ruby on Rails ColdFusion Perl / CGI Sonstige

16 Sollen X-Header entfernt werden?

ⓘ

Per Default entfernt der ALG-Dienst alle Header, deren Name mit X- beginnt – sowohl in der Antwort des Backend-Servers als auch in der Anfrage des Clients an das Backend. Solche Header werden häufig für interne Zwecke verwendet und sollten das Backend nicht unnötig verlassen bzw. das Backend nicht unnötig erreichen.

Ja Standard – alle X-Header werden entfernt Nein – X-Header werden unverändert durchgereicht

16.1 Welche X-Header sollen in der Antwort erhalten bleiben?

ⓘ

Optional: Einzelne X-Header können von der Entfernung in der Antwort des Backends ausgenommen werden (z. B. ein von der Anwendung benötigter X-Request-Id). Leer lassen, wenn alle X-Header aus der Antwort entfernt werden sollen.

16.2 Welche X-Header sollen in der Anfrage erhalten bleiben?

ⓘ

Optional: Einzelne X-Header können von der Entfernung in der Anfrage an das Backend ausgenommen werden. Leer lassen, wenn alle vom Client mitgeschickten X-Header entfernt werden sollen.

17 Sollen interne FQDNs aus Headern entfernt werden?

ⓘ

Der ALG-Dienst erkennt FQDNs aus einem festgelegten internen Namensraum (z. B. in Location, Set-Cookie oder anderen Headern der Backend-Antwort) und entfernt bzw. maskiert diese standardmäßig, damit keine internen Netzwerk-/Infrastruktur-Namen nach außen gelangen. Der vollständige Namensraum ist unter „?“ aufgeführt.

Ja Standard – interne FQDNs werden aus Headern entfernt Nein – Header werden unverändert durchgereicht

17.1 Sollen weitere interne Domains nach außen maskiert werden?

ⓘ

Optional: Domains, die nicht im Standard-Namensraum (siehe 17) enthalten sind, aber ebenfalls als intern gelten. Leer lassen, wenn der Standard-Namensraum ausreicht.

18 Sollen Security-Response-Header gesetzt werden?

ⓘ

Der ALG-Dienst kann gängige Security-Response-Header automatisch setzen. Per Default sind alle vier Header aktiv. Setzt der Backend-Server einen dieser Header bereits selbst, wird er vom ALG-Dienst nicht überschrieben – die Backend-Angabe hat immer Vorrang.

Content-Security-Policy Referrer-Policy X-Frame-Options X-XSS-Protection

19 Sollen bekannte CVEs anhand von Signaturen (letzte 2 Jahre) erkannt und blockiert werden?

ⓘ

Der ALG-Dienst kann eingehenden Datenverkehr anhand aktueller Signaturen auf bekannte, öffentlich dokumentierte Schwachstellen (CVEs) der letzten zwei Jahre prüfen und passende Anfragen blockieren. Eine vollständige Übersicht der aktuell erfassten CVEs ist unten aufklappbar.

CVE-Übersicht anzeigen (341 Einträge, Stand: Signaturdatei sig-r14.1b0v181s8.xml)

CVE-ID	Jahr	Schweregrad	Kategorie	Beschreibung
CVE-2026-0740	2026	HIGH	WordPress	Ninja Forms - File Uploads Plugin - Arbitrary File Upload Vulnerability
CVE-2026-1357	2026	HIGH	WordPress	WPvivid Backup Prior To 0.9.124 - Unauthenticated Arbitrary File Upload Vulnerability
CVE-2026-20963	2026	HIGH	Web (allgemein)	Microsoft SharePoint - Deserialization of Untrusted Data Vulnerability
CVE-2026-21858	2026	HIGH	Web (allgemein)	n8n Prior To 1.121.0 - Arbitrary File Read Vulnerability
CVE-2026-22200	2026	HIGH	Web (allgemein)	osTicket prior to 1.18.3 and 1.17.7 - Arbitrary File Read Vulnerability via open
CVE-2026-23760	2026	HIGH	Web (allgemein)	SmarterTools SmarterMail Prior to Build 9511 - Authentication Bypass Vulnerability
CVE-2026-23864	2026	HIGH	Web (allgemein)	React Server Prior to 19.0.4, 19.1.5 and 19.2.4 - Denial Of Service Vulnerability
CVE-2026-24423	2026	HIGH	Web (allgemein)	SmarterTools SmarterMail Prior to Build 9511 - Unauthenticated Remote Code Execution Vulnerability
CVE-2026-2699	2026	HIGH	Web (allgemein)	Progress Sharefile Storage Zones Controller Prior to 5.12.4 - Authentication Bypass Vulnerability
CVE-2026-2701	2026	HIGH	Web (allgemein)	Progress Sharefile Storage Zones Controller Prior to 5.12.4 - Remote Code Execution Vulnerability
CVE-2026-27493	2026	HIGH	Web (allgemein)	n8n Prior To 2.10.1, 2.9.3 and 1.123.22 - Remote Code Execution Vulnerability
CVE-2026-27825	2026	HIGH	LLM / KI	mcp-atlassian - Arbitrary File Read Vulnerability via Update Issue
CVE-2026-27826	2026	HIGH	LLM / KI	mcp-atlassian Prior to 0.17.0 - SSRF Vulnerability via X-Atlassian-Jira-Url
CVE-2026-33017	2026	HIGH	Web (allgemein)	Langflow Prior to 1.9.0 - Unauthenticated Remote Code Execution Vulnerability
CVE-2026-34197	2026	HIGH	Web (allgemein)	Apache ActiveMQ - Code Injection Vulnerability via GET
CVE-2026-3844	2026	HIGH	WordPress	Breeze Cache Plugin Prior to 2.4.4 - Arbitrary File Upload Vulnerability Via author
CVE-2026-41940	2026	HIGH	Web (allgemein)	cPanel and WHM - Authentication Bypass Vulnerability via cpsession
CVE-2026-42208	2026	HIGH	LLM / KI	BerriAI Litellm Prior to 1.8.37 - SQL Injection Vulnerability
CVE-2026-20945	2026	MEDIUM	Web (allgemein)	Microsoft SharePoint - Spoofing Vulnerability
CVE-2026-20958	2026	MEDIUM	Web (allgemein)	Microsoft SharePoint - Server Side Request Forgery Vulnerability Via ExecuteRemoteLOB
CVE-2026-32201	2026	MEDIUM	Web (allgemein)	Microsoft SharePoint - Unauthenticated Spoofing Vulnerability
CVE-2026-33368	2026	MEDIUM	Web (allgemein)	Zimbra Collaboration - Cross-Site Scripting Vulnerability
CVE-2026-33370	2026	MEDIUM	Web (allgemein)	Zimbra Collaboration - Stored Cross-Site Scripting Vulnerability
CVE-2024-13159	2025	HIGH	Web (allgemein)	Ivanti Endpoint Manager Multiple Versions - Path Traversal Vulnerability (CVE-2024-13159, CVE-2024-13160)
CVE-2024-13160	2025	HIGH	Web (allgemein)	Ivanti Endpoint Manager Multiple Versions - Path Traversal Vulnerability (CVE-2024-13159, CVE-2024-13160)
CVE-2024-13161	2025	HIGH	Web (allgemein)	Ivanti Endpoint Manager Multiple Versions - Path Traversal Vulnerability
CVE-2024-57727	2025	HIGH	Web (allgemein)	SimpleHelp Remote Support - Unauthenticated Traversal Vulnerability via serverinfo
CVE-2025-10035	2025	HIGH	Web (allgemein)	Fortra GoAnywhere MFT Prior to 7.6.3 and 7.8.4 - License Servlet Deserialization Vulnerability
CVE-2025-10611	2025	HIGH	Web (allgemein)	WSO2 Multiple Products and Versions - Access Control Bypass Vulnerability
CVE-2025-10948	2025	HIGH	Web (allgemein)	MikroTik RouterOS 7 - Memory Corruption Vulnerability
CVE-2025-1097	2025	HIGH	Web (allgemein)	Kubernetes Ingress-Nginx Multiple Versions - Unauthenticated RCE Vulnerability Via auth-tls-match-cn
CVE-2025-1098	2025	HIGH	Web (allgemein)	Kubernetes Ingress-Nginx Multiple Versions - RCE Vulnerability Via mirror-target or mirror-host
CVE-2025-11833	2025	HIGH	WordPress	POST SMTP Prior To 3.6.1 - Missing Authorization Vulnerability
CVE-2025-15061	2025	HIGH	LLM / KI	Figma-Context-MCP Prior to 0.6.3 - OS Command Injection Vulnerability Via nodeId (CVE-2025-53967, CVE-2025-15061)
CVE-2025-1661	2025	HIGH	WordPress	HUSKY (WOOF) Products Filter for WooCommerce Up to 1.3.6.6 - Unauthenticated LFI Vulnerability
CVE-2025-1974	2025	HIGH	Web (allgemein)	Kubernetes Ingress-Nginx Multiple Versions - Unauthenticated RCE Vulnerability (CVE-2025-1974, CVE-2025-24514)
CVE-2025-22457	2025	HIGH	Web (allgemein)	Ivanti Connect Secure Prior to 22.7R2.6 - Remote Code Execution Vulnerability
CVE-2025-2294	2025	HIGH	WordPress	Kubio AI Page Builder Plugin Prior to 2.5.1 - Unauthenticated LFI Vulnerability
CVE-2025-23209	2025	HIGH	Web (allgemein)	Craft CMS Prior Multiple Versions - OS Command Injection Vulnerability Via restore-db in p param
CVE-2025-24000	2025	HIGH	WordPress	Post SMTP Prior To 3.3.0 - Authentication Bypass Vulnerability via URL
CVE-2025-24016	2025	HIGH	Web (allgemein)	Wazuh Prior to 4.9.1 - Deserialization of Untrusted Data Vulnerability
CVE-2025-24514	2025	HIGH	Web (allgemein)	Kubernetes Ingress-Nginx Multiple Versions - Unauthenticated RCE Vulnerability (CVE-2025-1974, CVE-2025-24514)
CVE-2025-24799	2025	HIGH	Web (allgemein)	GLPI Prior to 10.0.18 - Unauthenticated SQL Injection Vulnerability via contact
CVE-2025-24801	2025	HIGH	Web (allgemein)	GLPI Prior to 10.0.18 - Unrestricted Upload of File Vulnerability
CVE-2025-24813	2025	HIGH	Web (allgemein)	Apache Tomcat Multiple Versions - Remote Code Execution Vulnerability
CVE-2025-24893	2025	HIGH	Web (allgemein)	xWiki Platform Multiple Versions - Remote Code Execution Vulnerability via /get
CVE-2025-25064	2025	HIGH	Web (allgemein)	Zimbra Collaboration - SQL Injection Vulnerability via XML
CVE-2025-27007	2025	HIGH	WordPress	WordPress Plugin OttoKit Prior To 1.0.83 - Privilege Escalation Vulnerability
CVE-2025-2746	2025	HIGH	Web (allgemein)	Kentico CMS Up to 13.0.172 - Authentication Bypass Vulnerability
CVE-2025-2747	2025	HIGH	Web (allgemein)	Kentico CMS Up to 13.0.178 - Authentication Bypass Vulnerability
CVE-2025-2749	2025	HIGH	Web (allgemein)	Kentico CMS Up to 13.0.178 - Arbitrary File Upload Vulnerability
CVE-2025-2905	2025	HIGH	Web (allgemein)	WSO2 Multiple Products and Versions - XML External Entity Vulnerability
CVE-2025-29927	2025	HIGH	Web (allgemein)	Next.js Prior to 14.2.25 and 15.2.3 - Middleware Authorization Bypass Vulnerability
CVE-2025-31161	2025	HIGH	Web (allgemein)	CrushFTP Prior to 10.8.4 and 11.3.1 - Authentication Bypass Vulnerability
CVE-2025-32429	2025	HIGH	Web (allgemein)	XWiki Multiple Versions - SQL Injection Vulnerability
CVE-2025-32432	2025	HIGH	Web (allgemein)	Craft CMS Multiple Versions - Remote Code Execution Vulnerability via URL
CVE-2025-3248	2025	HIGH	Web (allgemein)	Langflow Prior to 1.3.0 - Unauthenticated Remote Code Execution Vulnerability
CVE-2025-32813	2025	HIGH	Web (allgemein)	Infoblox NETMRI Multiple Versions - Unauthenticated OS Command Injection Vulnerability
CVE-2025-32814	2025	HIGH	Web (allgemein)	Infoblox NETMRI Multiple Versions - Unauthenticated SQL injection Vulnerability
CVE-2025-34291	2025	HIGH	LLM / KI	LangFlow Multiple Versions - RCE Vulnerability Via code
CVE-2025-34509	2025	HIGH	Web (allgemein)	SiteCore Up To 10.4 - Hardcoded ServicesAPI Credential
CVE-2025-34510	2025	HIGH	Web (allgemein)	SiteCore Up To 10.4 - Zip Slip Vulnerability
CVE-2025-34511	2025	HIGH	Web (allgemein)	SiteCore Up To 10.4 - Unrestricted File Upload Vulnerability
CVE-2025-35028	2025	HIGH	Web (allgemein)	HexStrike AI - Unauthenticated OS Command Injection Vulnerability
CVE-2025-3515	2025	HIGH	WordPress	Drag and Drop Multiple File Upload Prior To 1.3.9.0 - Arbitrary File Uploads Vulnerability
CVE-2025-3600	2025	HIGH	Web (allgemein)	Telerik UI for ASP.NET AJAX before 2025 Q1 SP2 - Unsafe Reflection Vulnerability
CVE-2025-40553	2025	HIGH	Web (allgemein)	SolarWinds Web HelpDesk Prior to 2026.1 - Remote Code Execution Vulnerability Via wo
CVE-2025-4123	2025	HIGH	Web (allgemein)	Apache Grafana - Open Redirect Vulnerability
CVE-2025-47577	2025	HIGH	WordPress	TI WooCommerce Wishlist Prior to 2.10.0 - Unauthenticated Arbitrary File Upload Vulnerability
CVE-2025-47812	2025	HIGH	Web (allgemein)	Wing FTP Server Prior To 7.4.4 - RCE Vulnerability Via URL
CVE-2025-47916	2025	HIGH	Web (allgemein)	Invision Community Prior to 5.0.7 - Unauthenticated RCE Vulnerability
CVE-2025-48827	2025	HIGH	Web (allgemein)	vBulletin Up to 5.7.5 or 6.0.3 - Remote Code Execution Vulnerability
CVE-2025-49113	2025	HIGH	Web (allgemein)	Roundcube Webmail - Remote Code Execution Vulnerability
CVE-2025-49704	2025	HIGH	Web (allgemein)	Microsoft SharePoint Server - Deserialization of Untrusted Data Vulnerability (CVE-2025-49704, CVE-2025-53770)
CVE-2025-5071	2025	HIGH	WordPress	AI Engine Prior to 2.8.4 - Privilege Escalation Vulnerability
CVE-2025-52488	2025	HIGH	Web (allgemein)	DNN DotNetNuke Prior to 10.0.1 - NTLM Hashes Disclosure Vulnerability via Browser
CVE-2025-52691	2025	HIGH	Web (allgemein)	SmarterTools SmarterMail Prior to Build 9413 - Unauthenticated Arbitrary File Upload Vulnerability
CVE-2025-53691	2025	HIGH	Web (allgemein)	SiteCore Up to 10.4 - Deserialization of Untrusted Data Vulnerability
CVE-2025-53693	2025	HIGH	Web (allgemein)	SiteCore Up to 10.4 - Unauthenticated Unsafe Reflection Vulnerability
CVE-2025-53770	2025	HIGH	Web (allgemein)	Microsoft SharePoint Server - Deserialization of Untrusted Data Vulnerability (CVE-2025-49704, CVE-2025-53770)
CVE-2025-53772	2025	HIGH	Web (allgemein)	Microsoft Web Deploy - Unsafe Deserialization Vulnerability
CVE-2025-53967	2025	HIGH	LLM / KI	Figma-Context-MCP Prior to 0.6.3 - OS Command Injection Vulnerability Via nodeId (CVE-2025-53967, CVE-2025-15061)
CVE-2025-54236	2025	HIGH	Web (allgemein)	Adobe Magento - Improper Input Validation Vulnerability
CVE-2025-54309	2025	HIGH	Web (allgemein)	CrushFTP Prior to 10.8.5 and 11.3.4_23 - Authentication Bypass Vulnerability Via AS2-To
CVE-2025-54788	2025	HIGH	Web (allgemein)	SuiteCRM Prior to 7.14.7 - SQL Injection Vulnerability
CVE-2025-55182	2025	HIGH	Web (allgemein)	React Server Prior to 19.0.1, 19.1.2 and 19.2.1 - Remote Code Execution Vulnerability
CVE-2025-57790	2025	HIGH	Web (allgemein)	Commvault Prior to 11.32.102 or 11.36.60 - Path Traversal Vulnerability via ExecuteQCommand
CVE-2025-57819	2025	HIGH	Web (allgemein)	FreePBX Multiple Versions - Authentication Bypass Vulnerability
CVE-2025-59287	2025	HIGH	Web (allgemein)	Microsoft Windows Server Update Service - Remote Code Execution Vulnerability
CVE-2025-59359	2025	HIGH	Web (allgemein)	Chaos Controller Manager - OS Command Injection Vulnerability via cleanTcs
CVE-2025-59360	2025	HIGH	Web (allgemein)	Chaos Controller Manager - OS Command Injection Vulnerability via killProcesses
CVE-2025-59361	2025	HIGH	Web (allgemein)	Chaos Controller Manager - OS Command Injection Vulnerability via cleanIptables
CVE-2025-59377	2025	HIGH	LLM / KI	Feiskyer Mcp-kubernetes-server Prior to 0.1.12 - OS Command Injection Vulnerability
CVE-2025-6023	2025	HIGH	Web (allgemein)	Apache Grafana - Open Redirect Vulnerability
CVE-2025-61757	2025	HIGH	Web (allgemein)	Oracle Identity Manager - Authentication Bypass Vulnerability
CVE-2025-61882	2025	HIGH	Web (allgemein)	Oracle E-Business Suite - Authentication Bypass Vulnerability Via SyncServlet
CVE-2025-61884	2025	HIGH	Web (allgemein)	Oracle E-Business Suite - Unauthenticated SSRF Vulnerability Via UiServlet
CVE-2025-6463	2025	HIGH	WordPress	Forminator Plugin Prior to 1.44.3 - Unauthenticated Arbitrary File Deletion to RCE Vulnerability
CVE-2025-68613	2025	HIGH	Web (allgemein)	n8n Prior To 1.120.4, 1.121.1 and 1.122.0 - Remote Code Execution Vulnerability
CVE-2025-68645	2025	HIGH	Web (allgemein)	Zimbra Collaboration - Local File Inclusion Vulnerability
CVE-2025-7847	2025	HIGH	WordPress	AI Engine Plugin Prior To 2.9.5 - Authenticated Arbitrary File Upload Vulnerability
CVE-2025-9152	2025	HIGH	Web (allgemein)	WSO2 Multiple Products and Versions - Authentication Bypass Vulnerability
CVE-2025-9501	2025	HIGH	WordPress	W3 Total Cache Plugin - Unauthenticated Remote Code Execution Vulnerability
CVE-2026-10520	2025	HIGH	Web (allgemein)	Ivanti Sentry Prior To 10.5.2, 10.6.2 and 10.7.1 - OS Command Injection Vulnerability
CVE-2026-16723	2025	HIGH	Web (allgemein)	FastJson Prior to 1.2.84 - RCE Vulnerability
CVE-2026-26980	2025	HIGH	Web (allgemein)	Ghost CMS - SQL Injection Vulnerability
CVE-2026-2743	2025	HIGH	Web (allgemein)	SeppMail Prior to 15.0.3 - Arbitrary File Write Via Path Traversal Vulnerability
CVE-2026-29205	2025	HIGH	Web (allgemein)	cPanel and WHM - Arbitrary File Read Vulnerability
CVE-2026-32993	2025	HIGH	Web (allgemein)	cPanel and WHM - Arbitrary HTTP Header Injection Vulnerability
CVE-2026-34647	2025	HIGH	Web (allgemein)	Adobe Magento multiple versions - SSRF Vulnerability
CVE-2026-34653	2025	HIGH	Web (allgemein)	Adobe Magento - Path Traversal Vulnerability
CVE-2026-39987	2025	HIGH	Web (allgemein)	Marimo Prior to 0.23.0 - Pre-Auth Remote Code Execution Vulnerability
CVE-2026-42271	2025	HIGH	LLM / KI	BerriAI LiteLLM Prior to 1.83.7 - Command Injection Vulnerability via /tools/list
CVE-2026-42945	2025	HIGH	Web (allgemein)	NGINX Multiple Versions - Heap-Based Buffer Overflow Vulnerability
CVE-2026-45247	2025	HIGH	Web (allgemein)	Mirasvit Full Cache Warmer for Magento 2 Prior to 1.11.12 - PHP Object Injection Vulnerability
CVE-2026-45454	2025	HIGH	Web (allgemein)	Microsoft SharePoint - Path Traversal Vulnerability
CVE-2026-48276	2025	HIGH	Web (allgemein)	Adobe ColdFusion Multiple Versions - Arbitrary File Upload Vulnerability
CVE-2026-48907	2025	HIGH	Web (allgemein)	Joomla JCE Editor Prior to 2.9.99.5 - Unauthenticated RCE Vulnerability
CVE-2026-48908	2025	HIGH	Web (allgemein)	Joomla SP Page Builder Prior to 6.6.2 - Arbitrary File Upload Vulnerability
CVE-2026-48939	2025	HIGH	Web (allgemein)	Joomla iCagenda Prior to 3.9.15 or 4.0.8 - Arbitrary File Upload Vulnerability
CVE-2026-50522	2025	HIGH	Web (allgemein)	Microsoft Sharepoint Server - Unauthenticated Deserialization of Untrusted Data Vulnerability
CVE-2026-56290	2025	HIGH	Web (allgemein)	Joomla Page Builder CK Prior to 3.6.0 - Arbitrary File Upload Vulnerability
CVE-2026-56291	2025	HIGH	Web (allgemein)	Joomla Balbooa Forms Prior to 2.4.1 - Arbitrary File Upload Vulnerability
CVE-2026-61511	2025	HIGH	Web (allgemein)	vBulletin Up to 5.7.5 or 6.2.1 - Remote Code Execution Vulnerability
CVE-2026-63030	2025	HIGH	WordPress	Core Prior to 6.9.5 and 7.0.2 - Remote Code Execution Vulnerability
CVE-2026-9082	2025	HIGH	Web (allgemein)	Drupal Core Multiple Versions - Unauthenticated SQL Injection Vulnerability Via login
CVE-2026-9103	2025	HIGH	LLM / KI	Langflow Prior to 1.10.1 - Information Disclosure Vulnerability (CVE-2026-9103, CVE-2026-9198)
CVE-2026-9198	2025	HIGH	LLM / KI	Langflow Prior to 1.10.1 - Information Disclosure Vulnerability (CVE-2026-9103, CVE-2026-9198)
CVE-2025-11705	2025	MEDIUM	WordPress	Anti-Malware Security Prior To 4.23.81 - Arbitrary File Read Vulnerability
CVE-2025-22783	2025	MEDIUM	WordPress	SEO Plugin by Squirrly SEO Prior to 12.4.01 - SQL Injection Vulnerability
CVE-2025-24367	2025	MEDIUM	Web (allgemein)	Cacti Prior to 1.2.29 - Command Injection Vulnerability
CVE-2025-2703	2025	MEDIUM	Web (allgemein)	Apache Grafana - DOM XSS Vulnerability
CVE-2025-27218	2025	MEDIUM	Web (allgemein)	SiteCore 10.4 - Unauthenticated Deserialization of Untrusted Data Vulnerability
CVE-2025-2748	2025	MEDIUM	Web (allgemein)	Kentico CMS Up to 13.0.178 - Stored Cross-Site Vulnerability
CVE-2025-27636	2025	MEDIUM	Web (allgemein)	Apache Camel - Bypass/Injection Vulnerability
CVE-2025-2774	2025	MEDIUM	Web (allgemein)	Webmin Prior to 2.301 - Privilege Escalation Vulnerability
CVE-2025-27892	2025	MEDIUM	Web (allgemein)	WEB-MIS Shopware PriorTo 6.5.8.13 - SQL Injection Vulnerability
CVE-2025-29891	2025	MEDIUM	Web (allgemein)	Apache Camel - Bypass/Injection Vulnerability
CVE-2025-32102	2025	MEDIUM	Web (allgemein)	CrushFTP Prior to 10.8.4 and 11.3.1 - Server Side Request Forgery Vulnerability
CVE-2025-32103	2025	MEDIUM	Web (allgemein)	CrushFTP Prior to 10.8.4 and 11.3.1 - getAdminXMLListing SMB Attacks Vulnerability
CVE-2025-32815	2025	MEDIUM	Web (allgemein)	Infoblox NETMRI Multiple Versions - Authentication Bypass Vulnerability SetCookie CRLF Injection
CVE-2025-35939	2025	MEDIUM	Web (allgemein)	Craft CMS Prior to 5.7.5 and 4.15.3 - Unauthenticated Session Injection Vulnerability
CVE-2025-45809	2025	MEDIUM	LLM / KI	BerriAI LiteLLM - SQL Injection Vulnerability Via /key/block
CVE-2025-48703	2025	MEDIUM	Web (allgemein)	CentOS Web Panel Prior to 0.9.8.1205 - Unauthenticated RCE Vulnerability
CVE-2025-49706	2025	MEDIUM	Web (allgemein)	Microsoft SharePoint Server - Authentication Bypass Vulnerability (CVE-2025-49706, CVE-2025-53771)
CVE-2025-53771	2025	MEDIUM	Web (allgemein)	Microsoft SharePoint Server - Authentication Bypass Vulnerability (CVE-2025-49706, CVE-2025-53771)
CVE-2025-55183	2025	MEDIUM	Web (allgemein)	React Server Up to 19.0.1, 19.1.2 and 19.2.1 - Information Leak Vulnerability
CVE-2025-55209	2025	MEDIUM	Web (allgemein)	FreePBX Multiple Versions - Stored XSS Vulnerability
CVE-2025-56380	2025	MEDIUM	Web (allgemein)	ERPNext and Frappe Framework - SQL Injection Vulnerability Via fieldname
CVE-2025-56381	2025	MEDIUM	Web (allgemein)	ERPNext and Frappe Framework - SQL Injection Vulnerability Via group_by
CVE-2025-57788	2025	MEDIUM	Web (allgemein)	Commvault Multiple Versions - Unauthorized API Access Vulnerability via _PublicSharingUser_
CVE-2025-57791	2025	MEDIUM	Web (allgemein)	Commvault Prior to 11.32.102 or 11.36.60 - Argument Injection Vulnerability
CVE-2025-59155	2025	MEDIUM	LLM / KI	HackMD MCP Server Prior To 1.5.0 - Server-Side Request Forgery Vulnerability via form
CVE-2025-61678	2025	MEDIUM	Web (allgemein)	FreePBX Multiple Versions - Arbitrary File Upload Via fwbrand
CVE-2025-6197	2025	MEDIUM	Web (allgemein)	Apache Grafana - Open Redirect Vulnerability via Absolute URL
CVE-2025-70951	2025	MEDIUM	Web (allgemein)	Control Web Panel Prior to 0.9.8.1223 - Unauthenticated RCE Vulnerability
CVE-2026-44127	2025	MEDIUM	Web (allgemein)	SeppMail Prior to 15.0.4 - Unauthenticated Path Traversal Vulnerability
CVE-2026-47634	2025	MEDIUM	Web (allgemein)	Microsoft SharePoint Server - Stored XSS Vulnerability Via Description Field and SOAP
CVE-2026-48710	2025	MEDIUM	Web (allgemein)	Starlette Prior to 1.0.1 - Authentication Bypass Vulnerability
CVE-2026-60137	2025	MEDIUM	WordPress	CORE Prior to 6.8.6, 6.9.5 and 7.0.2 - SQL Injection Vulnerability
CVE-2026-7864	2025	MEDIUM	Web (allgemein)	SeppMail Prior to 15.0.4 - Unauthenticated Information Disclosure Vulnerability
CVE-2023-32563	2024	HIGH	Web (allgemein)	Ivanti Avalanche Prior to 6.4.1 - Arbitrary File Upload Vulnerability (CVE-2023-32563, CVE-2024-38652)
CVE-2023-46805	2024	HIGH	Web (allgemein)	Ivanti Connect Secure Multiple Versions - Remote Code Execution vulnerability (CVE-2023-46805,CVE-2024-21887)
CVE-2024-0221	2024	HIGH	WordPress	Photo Gallery Up To 1.8.19 - Directory Traversal Vulnerability
CVE-2024-0507	2024	HIGH	Web (allgemein)	GitHub Enterprise Server - Command Injection Vulnerability
CVE-2024-0759	2024	HIGH	LLM / KI	anything-llm Prior To 1.0.0 - SSRF Vulnerability
CVE-2024-10513	2024	HIGH	LLM / KI	anything-llm Prior To 1.2.2 - Path Traversal Vulnerability (CVE-2024-8248, CVE-2024-10513)
CVE-2024-10542	2024	HIGH	WordPress	WordPress Plugin Anti-Spam by CleanTalk Prior To 6.44 - Authorization Bypass Vulnerability
CVE-2024-1071	2024	HIGH	WordPress	Ultimate Member From 2.1.3 To 2.8.2 - SQL Injection Vulnerability
CVE-2024-10781	2024	HIGH	WordPress	WordPress Plugin Anti-Spam by CleanTalk Prior To 6.45 - Authorization Bypass Vulnerability
CVE-2024-10811	2024	HIGH	Web (allgemein)	Ivanti Endpoint Manager Multiple Versions - Path Traversal Vulnerability
CVE-2024-10924	2024	HIGH	WordPress	Really Simple Security Plugin Prior to 9.2 - Authentication Bypass Vulnerability
CVE-2024-1207	2024	HIGH	WordPress	WP Booking Calendar Plugin Prior to 9.9.1 - Unauthenticated SQL Injection Vulnerability
CVE-2024-1212	2024	HIGH	Web (allgemein)	Progress LoadMaster - Unauthenticated OS Command Injection Vulnerability via access
CVE-2024-13059	2024	HIGH	LLM / KI	anything-llm Prior To 1.3.1 - Path Traversal Vulnerability
CVE-2024-1708	2024	HIGH	Web (allgemein)	ConnectWise ScreenConnect Prior to 23.9.8 - Path Traversal Vulnerability via ZipSlip Attack
CVE-2024-1709	2024	HIGH	Web (allgemein)	ConnectWise ScreenConnect Prior to 23.9.8 - Authentication Bypass Vulnerability
CVE-2024-1981	2024	HIGH	WordPress	WordPress Plugin WPVivid Backup & Migration - SQLi Vulnerability
CVE-2024-21683	2024	HIGH	Web (allgemein)	Atlassian Confluence Prior to 8.9.1 - Remote Code Execution Vulnerability
CVE-2024-21887	2024	HIGH	Web (allgemein)	Ivanti Connect Secure Multiple Versions - Remote Code Execution vulnerability (CVE-2023-46805,CVE-2024-21887)
CVE-2024-21893	2024	HIGH	Web (allgemein)	Ivanti Connect Secure Multiple Versions - Server Side Request Forgery vulnerability
CVE-2024-22263	2024	HIGH	Web (allgemein)	Spring Cloud Data Flow Prior To 2.11.3 - Unauthenticated Arbitrary File Write Vulnerability
CVE-2024-23538	2024	HIGH	Web (allgemein)	Apache Fineract Prior to 1.9 - SQL Injection Vulnerabilities (CVE-2024-23538,CVE-2024-23539)
CVE-2024-23539	2024	HIGH	Web (allgemein)	Apache Fineract Prior to 1.9 - SQL Injection Vulnerabilities (CVE-2024-23538,CVE-2024-23539)
CVE-2024-23917	2024	HIGH	Web (allgemein)	JetBrains TeamCity Prior to 2023.11.3 - Authentication Bypass Vulnerability
CVE-2024-2448	2024	HIGH	Web (allgemein)	Progress LoadMaster - OS Command Injection Vulnerability
CVE-2024-24747	2024	HIGH	Web (allgemein)	MinIO Prior to RELEASE.2024-01-31T20-20-33Z - Improper Privilege Management Vulnerability
CVE-2024-24830	2024	HIGH	Web (allgemein)	OpenObserve Prior to 0.8.0 - Privilege Escalation
CVE-2024-25153	2024	HIGH	Web (allgemein)	Fortra FileCatalyst Worflow Prior to 5.1.6 - Arbitrary File Upload Vulnerability
CVE-2024-27198	2024	HIGH	Web (allgemein)	JetBrains TeamCity Prior to 2023.11.4 - Authentication Bypass Vulnerability
CVE-2024-2771	2024	HIGH	WordPress	Contact Form by Fluent Forms before 5.1.17 - Missing Authentication Vulnerability Via POST
CVE-2024-2782	2024	HIGH	WordPress	Contact Form by Fluent Forms before 5.1.17 - Missing Authentication Vulnerability Via POST
CVE-2024-27954	2024	HIGH	WordPress	ValvePress Automatic Plugin Prior to 3.92.1 - Unauth Path Traversal and SSRF Vulnerabilities
CVE-2024-27956	2024	HIGH	WordPress	ValvePress Automatic Plugin Prior to 3.92.1 - Unauthenticated SQL Injection Vulnerability
CVE-2024-28147	2024	HIGH	Web (allgemein)	Edu-Sharing - Arbitrary File Upload Vulnerability via node
CVE-2024-2879	2024	HIGH	WordPress	Wordpress plugin LayerSlider Versions 7.9.11 and 7.10.0 - SQL Injection Vulnerability
CVE-2024-28995	2024	HIGH	Web (allgemein)	SolarWinds Serv-U Prior to 15.4.2 HF 2 - Directory Traversal Vulnerability
CVE-2024-29198	2024	HIGH	Web (allgemein)	GeoServer Prior to 2.24.4 and 2.25.2 - Unauthenticated SSRF Vulnerability
CVE-2024-29824	2024	HIGH	Web (allgemein)	Ivanti Endpoint Manager Prior To v2022 SU5 - SQL Injection RCE Vulnerability
CVE-2024-31136	2024	HIGH	Web (allgemein)	JetBrains TeamCity Prior to 2024.03 - Two-Factor Authentication Bypass Vulnerability
CVE-2024-31445	2024	HIGH	Web (allgemein)	Cacti Prior To 1.2.27 - SQL Injection Vulnerability Via filter
CVE-2024-31982	2024	HIGH	Web (allgemein)	XWiki Multiple Versions - Unauthenticated Remote Code Execution Vulnerability
CVE-2024-32113	2024	HIGH	Web (allgemein)	Apache Ofbiz Prior to 18.12.14 - Path Traversal Vulnerability (CVE-2024-32113, CVE-2024-36104)
CVE-2024-33533	2024	HIGH	Web (allgemein)	Zimbra Collaboration - Local File Inclusion and XSS Vulnerabilities (CVE-2024-33533, CVE-2024-33535)
CVE-2024-33535	2024	HIGH	Web (allgemein)	Zimbra Collaboration - Local File Inclusion and XSS Vulnerabilities (CVE-2024-33533, CVE-2024-33535)
CVE-2024-34102	2024	HIGH	Web (allgemein)	Adobe Magento - XML External Entity Vulnerability
CVE-2024-36104	2024	HIGH	Web (allgemein)	Apache Ofbiz Prior to 18.12.14 - Path Traversal Vulnerability (CVE-2024-32113, CVE-2024-36104)
CVE-2024-36401	2024	HIGH	Web (allgemein)	GeoServer Multiple Versions - Unauthenticated Remote Code Execution Vulnerability
CVE-2024-36408	2024	HIGH	Web (allgemein)	Prior To 7.14.4 and 8.6.1 - SQLi Vulnerability Via Alerts Module action_add endpoint
CVE-2024-36409	2024	HIGH	Web (allgemein)	SuiteCRM Prior To 7.14.4 and 8.6.1 - SQLi Vulnerability Via Tree Data entry point
CVE-2024-36410	2024	HIGH	Web (allgemein)	SuiteCRM Prior To 7.14.4 and 8.6.1 - SQLi Vulnerability Via EmailUIAjax getMessageCount controller
CVE-2024-36411	2024	HIGH	Web (allgemein)	SuiteCRM Prior To 7.14.4 and 8.6.1 - SQLi Vulnerability Via EmailUIAjax displayView controller
CVE-2024-36412	2024	HIGH	Web (allgemein)	Prior SuiteCRM To 7.14.4 and 8.6.1 - SQLi Vulnerability Via responseEntryPoint
CVE-2024-37393	2024	HIGH	Web (allgemein)	SecurEnvoy MFA Prior to 9.4.514 - Unauthenticated LDAP Injection Vulnerability Via USERID or MEMBEROF
CVE-2024-37397	2024	HIGH	Web (allgemein)	Ivanti Endpoint Manager Multiple Versions - XXE Injection Vulnerability
CVE-2024-38018	2024	HIGH	Web (allgemein)	Microsoft SharePoint Server - Remote Code Execution Vulnerability
CVE-2024-38023	2024	HIGH	Web (allgemein)	Microsoft SharePoint Server 2016 and 2019 - Remote Code Execution Vulnerability (CVE-2024-38094, 38024 and 38023)
CVE-2024-38024	2024	HIGH	Web (allgemein)	Microsoft SharePoint Server 2016 and 2019 - Remote Code Execution Vulnerability (CVE-2024-38094, 38024 and 38023)
CVE-2024-38094	2024	HIGH	Web (allgemein)	Microsoft SharePoint Server 2016 and 2019 - Remote Code Execution Vulnerability (CVE-2024-38094, 38024 and 38023)
CVE-2024-38652	2024	HIGH	Web (allgemein)	Ivanti Avalanche Prior to 6.4.1 - Arbitrary File Upload Vulnerability (CVE-2023-32563, CVE-2024-38652)
CVE-2024-38653	2024	HIGH	Web (allgemein)	Ivanti Avalanche Up to 6.3.1 - SmartDeviceServer XXE Vulnerability
CVE-2024-38856	2024	HIGH	Web (allgemein)	Apache Ofbiz Prior to 18.12.15 - Incorrect Authorization Vulnerability in ProgramExport
CVE-2024-4040	2024	HIGH	Web (allgemein)	CrushFTP Prior to 10.7.1 and 11.1.0 - Server Side Template Injection Vulnerability
CVE-2024-41667	2024	HIGH	Web (allgemein)	OpenAM Prior to 15.0.4 - Template Injection Vulnerability
CVE-2024-41874	2024	HIGH	Web (allgemein)	Adobe ColdFusion Multiple Versions - Remote Code Execution Vulnerability
CVE-2024-42327	2024	HIGH	Web (allgemein)	Zabbix - API SQL Injection Vulnerability
CVE-2024-42361	2024	HIGH	Web (allgemein)	Apache HertzBeat 1.6.0 - SQL Injection Vulnerability Via label
CVE-2024-42362	2024	HIGH	Web (allgemein)	Apache HertzBeat Prior to 1.6.0 - Remote Code Execution Vulnerability
CVE-2024-4295	2024	HIGH	WordPress	Icegram Express Email Subscribers Prior to 5.7.21 - SQL Injection Vulnerability
CVE-2024-43363	2024	HIGH	Web (allgemein)	Cacti Prior to 1.2.28 - Code Injection Vulnerability Via path_cactilog
CVE-2024-43425	2024	HIGH	Web (allgemein)	Moodle Multiple Versions - Remote Code Execution Vulnerability
CVE-2024-43436	2024	HIGH	Web (allgemein)	Moodle Multiple Versions - SQL Injection Vulnerability
CVE-2024-43468	2024	HIGH	Web (allgemein)	Microsoft Configuration Manager Prior to KB29166583 - SQL Injection Vulnerability
CVE-2024-4358	2024	HIGH	Web (allgemein)	Progress Telerik Report Server - Authentication Bypass Vulnerability
CVE-2024-4397	2024	HIGH	WordPress	LearnPress Prior To 4.2.6.6 - Arbitrary File Upload Vulnerability
CVE-2024-4434	2024	HIGH	WordPress	LearnPress Prior To 4.2.6.6 - Unauthenticated SQL Injection Vulnerability
CVE-2024-45195	2024	HIGH	Web (allgemein)	Apache Ofbiz Prior to 18.12.16 - Direct Request ('Forced Browsing') vulnerability
CVE-2024-45216	2024	HIGH	Web (allgemein)	Apache Solr Prior to 9.7.0 or 8.11.4 - Authentication Bypass Vulnerability
CVE-2024-45507	2024	HIGH	Web (allgemein)	Apache Ofbiz Prior to 18.12.17 - SSRF Vulnerability (CVE-2024-45507, CVE-2024-47208)
CVE-2024-4577	2024	HIGH	Web (allgemein)	PHP Prior to 8.1.29, 8.2.20 and 8.3.8 - Command Injection Vulnerability
CVE-2024-46938	2024	HIGH	Web (allgemein)	SiteCore Up To 10.4 - Arbitrary File Read Vulnerability via speak
CVE-2024-47009	2024	HIGH	Web (allgemein)	Ivanti Avalanche Prior to 6.4.5 - Authentication Bypass Vulnerability
CVE-2024-47010	2024	HIGH	Web (allgemein)	Ivanti Avalanche Prior to 6.4.5 - Authentication Bypass Vulnerability
CVE-2024-47011	2024	HIGH	Web (allgemein)	Ivanti Avalanche Prior to 6.4.5 - Path Traversal Vulnerability
CVE-2024-47208	2024	HIGH	Web (allgemein)	Apache Ofbiz Prior to 18.12.17 - SSRF Vulnerability (CVE-2024-45507, CVE-2024-47208)
CVE-2024-47374	2024	HIGH	WordPress	WordPress Plugin LiteSpeed Cache Prior To 6.5.1 - Stored XSS Vulnerability
CVE-2024-47949	2024	HIGH	Web (allgemein)	JetBrains TeamCity Prior to 2024.07.3 - Path Traversal Vulnerability
CVE-2024-48248	2024	HIGH	Web (allgemein)	NAKIVO Backup and Replication- Unauthenticated File Read Vulnerability
CVE-2024-48590	2024	HIGH	Web (allgemein)	Inflectra SpiraTeam Up To 7.2.00 - SSRF Vulnerability
CVE-2024-4884	2024	HIGH	Web (allgemein)	WhatsUp Gold Prior To 2023.1.3 - Command Execution Vulnerability
CVE-2024-4885	2024	HIGH	Web (allgemein)	WhatsUp Gold Prior To 2023.1.3 - Unauthenticated Remote Code Execution Vulnerability
CVE-2024-4956	2024	HIGH	Web (allgemein)	Sonatype Nexus Repository Prior to 3.68.1 - Unauthenticated Path Traversal Vulnerability
CVE-2024-5015	2024	HIGH	Web (allgemein)	WhatsUp Gold Prior To 2023.1.3 - SSRF Vulnerability
CVE-2024-5018	2024	HIGH	Web (allgemein)	WhatsUp Gold Prior To 2023.1.3 - Unauthenticated File Disclosure Vulnerability
CVE-2024-5019	2024	HIGH	Web (allgemein)	WhatsUp Gold Prior To 2023.1.3 - Unauthenticated File Disclosure Vulnerability
CVE-2024-50340	2024	HIGH	Web (allgemein)	Symphony PHP Framework - Security Bypass Vulnerability
CVE-2024-51378	2024	HIGH	Web (allgemein)	CyberPanel Prior to 2.3.8 - Unauthenticated OS Command Injection Vulnerability
CVE-2024-51567	2024	HIGH	Web (allgemein)	CyberPanel Prior to 2.3.8 - Unauthenticated OS Command Injection Vulnerability
CVE-2024-51568	2024	HIGH	Web (allgemein)	CyberPanel Prior to 2.3.5 - Unauthenticated OS Command Injection Vulnerability
CVE-2024-5211	2024	HIGH	LLM / KI	anything-llm Prior To 1.0.0 - Path Traversal Vulnerability
CVE-2024-5276	2024	HIGH	Web (allgemein)	Fortra FileCatalyst Workflow Prior to 5.1.6.139 - SQL Injection Vulnerability
CVE-2024-52874	2024	HIGH	Web (allgemein)	Infoblox NETMRI Multiple Versions - SQL injection Vulnerability
CVE-2024-53674	2024	HIGH	Web (allgemein)	HPE Insight Remote Support Prior to 7.14.0.629 - XML External Entity Injection Vulnerability
CVE-2024-53675	2024	HIGH	Web (allgemein)	HPE Insight Remote Support Prior to 7.14.0.629 - XML External Entity Injection Vulnerability
CVE-2024-53961	2024	HIGH	Web (allgemein)	Adobe ColdFusion Multiple Versions - Path Traversal Vulnerability
CVE-2024-5488	2024	HIGH	WordPress	WordPress Plugin SEOPress Prior To 7.9 - Authorization Bypass Vulnerability
CVE-2024-55661	2024	HIGH	Web (allgemein)	Laravel Pulse Prior to 1.3.1 - Code Injection Vulnerability
CVE-2024-5806	2024	HIGH	Web (allgemein)	Progress MOVEit Transfer - Authentication Bypass Vulnerability Via Log Poisoning
CVE-2024-5932	2024	HIGH	WordPress	WordPress Plugin GiveWP Prior To 3.14.2 - Deserialization of Untrusted Data Vulnerability
CVE-2024-6172	2024	HIGH	WordPress	Email Subscribers by Icegram Express Plugin Before 5.7.26 - SQLi Vulnerability Via db
CVE-2024-6587	2024	HIGH	Web (allgemein)	BerriAI/litellm Multiple Versions - SSRF Vulnerability
CVE-2024-6658	2024	HIGH	Web (allgemein)	Progress LoadMaster Prior To 7.2.60.1 - OS Command Injection Vulnerability
CVE-2024-6670	2024	HIGH	Web (allgemein)	WhatsUp Gold Prior To 2023.1.3 - Unauthenticated SQL Injection
CVE-2024-6825	2024	HIGH	LLM / KI	BerriAI LiteLLM - Remote Code Execution Vulnerability
CVE-2024-6842	2024	HIGH	LLM / KI	anything-llm 1.5.5 - Information Disclosure Vulnerability
CVE-2024-7297	2024	HIGH	Web (allgemein)	Langflow Prior to 1.0.13 - Privilege Escalation Vulnerability
CVE-2024-7314	2024	HIGH	Web (allgemein)	AJ-Report - Authentication Bypass Vulnerability via swagger-ui
CVE-2024-7591	2024	HIGH	Web (allgemein)	Progress LoadMaster Prior To 7.2.60.1 - Authenticated OS Command Injection Vulnerability
CVE-2024-7772	2024	HIGH	WordPress	Artbees Jupiter X Core Plugin Prior to 4.6.6 - Arbitrary File Upload Vulnerability
CVE-2024-7781	2024	HIGH	WordPress	Artbees Jupiter X Core Plugin Prior to 4.7.8 - Authentication Bypass Vulnerability Via Google
CVE-2024-8190	2024	HIGH	Web (allgemein)	Ivanti Cloud Services Application Prior to 4.6 Patch 519 - OS Command Injection Vulnerability
CVE-2024-8248	2024	HIGH	LLM / KI	anything-llm Prior To 1.2.2 - Path Traversal Vulnerability (CVE-2024-8248, CVE-2024-10513)
CVE-2024-8353	2024	HIGH	WordPress	WordPress Plugin GiveWP Prior To 3.16.2 - Deserialization of Untrusted Data Vulnerability
CVE-2024-8517	2024	HIGH	Web (allgemein)	SPIP Multiple Versions - Unauthenticated RCE Vulnerability
CVE-2024-8522	2024	HIGH	WordPress	WordPress Plugin LMS Plugin Prior To 4.2.7.1 - SQL Injection Vulnerability
CVE-2024-8529	2024	HIGH	WordPress	WordPress Plugin LMS Plugin Prior To 4.2.7.1 - SQL Injection Vulnerability
CVE-2024-8672	2024	HIGH	WordPress	Widget Options Plugin Prior to 4.0.8 - RCE Vulnerability
CVE-2024-8963	2024	HIGH	Web (allgemein)	Ivanti Cloud Services Application Prior to 4.6 Patch 519 - Path Traversal Vulnerability via ?
CVE-2024-9047	2024	HIGH	WordPress	WordPress Plugin File Upload Prior To 4.24.14 - Path Traversal Vulnerability via wfu_storage
CVE-2024-9264	2024	HIGH	Web (allgemein)	Apache Grafana 11.x - Command Injection And Local File Inclusion Vulnerability via SQL Expressions
CVE-2024-9379	2024	HIGH	Web (allgemein)	Ivanti Cloud Services Application Prior to 5.0.2 - SQL Injection Vulnerability
CVE-2024-9380	2024	HIGH	Web (allgemein)	Ivanti Cloud Services Application Prior to 5.0.2 - Remote Code Execution Vulnerability
CVE-2024-9381	2024	HIGH	Web (allgemein)	Ivanti Cloud Services Application Prior to 5.0.2 - Path Traversal Vulnerability via /rc
CVE-2024-9465	2024	HIGH	Web (allgemein)	Palo Alto Expedition Prior to 1.2.96 - Unauthenticated SQL Injection Vulnerability
CVE-2024-9634	2024	HIGH	WordPress	WordPress Plugin GiveWP Prior To 3.16.4 - Deserialization of Untrusted Data Vulnerability
CVE-2025-20281	2024	HIGH	Web (allgemein)	Cisco ISE - Unauthenticated Command Injection Vulnerability
CVE-2025-20283	2024	HIGH	Web (allgemein)	Cisco ISE - Deserialization of Untrusted Data RCE Vulnerability
CVE-2025-20284	2024	HIGH	Web (allgemein)	Cisco ISE - Deserialization of Untrusted Data RCE Vulnerability
CVE-2025-20337	2024	HIGH	Web (allgemein)	Cisco ISE - Unauthenticated Deserialization of Untrusted Data RCE Vulnerability
CVE-2025-21400	2024	HIGH	Web (allgemein)	Microsoft SharePoint Server - Remote Code Execution Vulnerability
CVE-2024-11986	2024	MEDIUM	Web (allgemein)	CrushFTP Prior to 10.8.3 and 11.2.3 - Unauthenticated Stored Cross-Site Vulnerability Via %
CVE-2024-2053	2024	MEDIUM	Web (allgemein)	Artica Proxy Prior to 4.50 - Unauthenticated Arbitrary File Inclusion Vulnerability
CVE-2024-2054	2024	MEDIUM	Web (allgemein)	Artica Proxy Prior to 4.50 - Unauthenticated PHP Object Deserialization Vulnerability
CVE-2024-2055	2024	MEDIUM	Web (allgemein)	Artica Proxy Prior to 4.50 - Authentication Bypass Vulnerability
CVE-2024-21726	2024	MEDIUM	Web (allgemein)	Joomla! Prior to 5.0.3 and 4.4.3 - XSS Vulnerability via forceLanguage parameter
CVE-2024-24401	2024	MEDIUM	Web (allgemein)	NagiosXI Up To 2024R1.01 - SQL Injection Vulnerability
CVE-2024-25065	2024	MEDIUM	Web (allgemein)	Apache Ofbiz Prior 18.12.12 - Authentication Bypass Vulnerability
CVE-2024-25106	2024	MEDIUM	Web (allgemein)	OpenObserve Prior to 0.8.0 - Unauthorized Access Vulnerability
CVE-2024-25600	2024	MEDIUM	WordPress	Bricks Builder Prior to 1.9.6.1 - RCE Vulnerability Via AJAX content parameter
CVE-2024-2667	2024	MEDIUM	WordPress	WordPress Plugin InstaWP Connect Prior To 0.1.0.22 - Arbitrary File Upload Vulnerability
CVE-2024-27348	2024	MEDIUM	Web (allgemein)	Apache HugeGraph-Server Prior to 1.3.0 - Remote code Execution Vulnerability
CVE-2024-27349	2024	MEDIUM	Web (allgemein)	Apache HugeGraph-Server Prior to 1.3.0 - Authentication Bypass Vulnerability
CVE-2024-30043	2024	MEDIUM	Web (allgemein)	Microsoft SharePoint Server 2016 and 2019 - XXE Injection Vulnerability
CVE-2024-30162	2024	MEDIUM	Web (allgemein)	Invision Community - Arbitrary File Upload Vulnerability
CVE-2024-30163	2024	MEDIUM	Web (allgemein)	Invision Community Prior to 4.7.16 - SQL Injection Vulnerability
CVE-2024-31460	2024	MEDIUM	Web (allgemein)	Cacti Prior To 1.2.27 - Stored SQL Injection Vulnerability Via field
CVE-2024-3246	2024	MEDIUM	WordPress	WordPress Plugin LiteSpeed Cache Prior To 6.3.0 - Cross-Site Request Forgery Vulnerability
CVE-2024-33536	2024	MEDIUM	Web (allgemein)	Zimbra Collaboration - XSS Vulnerability via res
CVE-2024-34693	2024	MEDIUM	Web (allgemein)	Apache Superset Multiple Versions - Improper Input Validation Vulnerability
CVE-2024-36680	2024	MEDIUM	Web (allgemein)	Prestashop Promokit Facebook Module Up to 1.0.1 - SQL Injection Vulnerability
CVE-2024-44000	2024	MEDIUM	WordPress	WordPress Plugin LiteSpeed Cache Prior To 6.5.0.1 - Account Takeover Vulnerability
CVE-2024-45186	2024	MEDIUM	Web (allgemein)	FileSender Prior to 2.49 - Server Side Template Injection Vulnerability
CVE-2024-45387	2024	MEDIUM	Web (allgemein)	Apache Traffic Control Prior to 8.0.2 - SQL Injection Vulnerability
CVE-2024-45440	2024	MEDIUM	Web (allgemein)	Drupal Core - Information Disclosure Vulnerability via install
CVE-2024-45767	2024	MEDIUM	Web (allgemein)	Dell OpenManage Enterprise Prior to 4.2 - SQL Injection Vulnerability Via Reports
CVE-2024-5017	2024	MEDIUM	Web (allgemein)	WhatsUp Gold Prior To 2023.1.3 - Path Traversal Vulnerability
CVE-2024-52301	2024	MEDIUM	Web (allgemein)	Laravel PHP Framework - Security Bypass Vulnerability
CVE-2024-53376	2024	MEDIUM	Web (allgemein)	CyberPanel Prior to 2.3.8 - OS Command Injection Vulnerability
CVE-2024-54145	2024	MEDIUM	Web (allgemein)	Cacti Prior to 1.2.29 - SQL Injection Vulnerability
CVE-2024-54188	2024	MEDIUM	Web (allgemein)	Infoblox NETMRI Multiple Versions - Arbitrary File Disclosure Vulnerability
CVE-2024-56145	2024	MEDIUM	Web (allgemein)	Craft CMS - Security Bypass Vulnerability
CVE-2024-5910	2024	MEDIUM	Web (allgemein)	Palo Alto Expedition Prior to 1.2.92 - Missing Authentication for Critical Function Vulnerability
CVE-2024-6914	2024	MEDIUM	Web (allgemein)	WSO2 Multiple Products and Versions - Authentication Bypass Vulnerability
CVE-2024-7074	2024	MEDIUM	Web (allgemein)	WSO2 Multiple Products and Versions - Arbitrary File Upload Vulnerability
CVE-2024-7097	2024	MEDIUM	Web (allgemein)	WSO2 Multiple Products and Versions - Authorization Bypass Vulnerability
CVE-2024-9464	2024	MEDIUM	Web (allgemein)	Palo Alto Expedition Prior to 1.2.96 - OS Command Injection Vulnerability Via start_date
CVE-2024-9665	2024	MEDIUM	Web (allgemein)	Zimbra Collaboration - GraphQL Cross-Site Request Forgery Vulnerability
CVE-2025-0103	2024	MEDIUM	Web (allgemein)	Palo Alto Expedition Prior to 1.2.101 - SQL Injection Vulnerability Via Monitor
CVE-2025-0105	2024	MEDIUM	Web (allgemein)	Palo Alto Expedition Prior to 1.2.101 - Arbitrary File Deletion Vulnerability
CVE-2025-0106	2024	MEDIUM	Web (allgemein)	Palo Alto Expedition Prior to 1.2.101 - Unauthenticated File Enumeration Vulnerability
CVE-2025-0107	2024	MEDIUM	Web (allgemein)	Palo Alto Expedition Prior to 1.2.101 - OS Command Injection Vulnerability

Ja Standard – bekannte CVEs werden per Signatur blockiert Nein – keine signaturbasierte CVE-Erkennung

19.1 Sollen einzelne Signaturen/CVEs als bekannte False Positives ausgeschlossen werden?

ⓘ

Optional: Einzelne CVE-Signaturen, die im Betrieb bereits als Fehlalarm (False Positive) bekannt sind, können hier von der Blockierung ausgeschlossen werden (z. B. CVE-2026-0740). Leer lassen, wenn keine bekannten Fehlalarme vorliegen.

Frage	Thema	Auslöser	Bewertung
1	TLS im Frontend	TLS 1.1 (veraltet)	Warnung
1	TLS im Frontend	TLS 1.0 (unsicher)	Kritisch
2	TLS im Backend	TLS 1.1	Warnung
2	TLS im Backend	TLS 1.0	Kritisch
2	TLS im Backend	Keine Verschlüsselung (HTTP)	Kritisch
3	WebSocket	„Ja“ (WebSocket aktiv)	Warnung
4	HTTP Version	HTTP/1.0	Kritisch
5	HTTP Methoden	TRACE aktiviert	Kritisch
6	FQDNs	Eine IP-Adresse statt eines FQDN angegeben	Warnung
7	Pfade und Dateitypen	Beide Listen leer oder Positivliste nur mit zu allgemeinen Mustern (z. B. `/`, ``)	Warnung
8	Länge der URL	8192 Zeichen (bzw. „Individuell“ ab 8192)	Warnung
8	Länge der URL	16384 Zeichen (bzw. „Individuell“ ab 16384)	Kritisch
9	Länge eines Headers	8192 / 16384 (bzw. „Individuell“ ab diesen Werten)	Warnung / Kritisch
10	Länge der Cookies	8192 / 16384	Warnung / Kritisch
11	Größe des Body	50 MB / 100 MB	Warnung / Kritisch
12	Anzahl der Header	200 / 500	Warnung / Kritisch
13	Nutzereingaben	Rein informativ, kein Punktabzug	keine
14	Öffentliche API	Rein informativ, kein Punktabzug	keine
14.1	Datenformate (XML/SOAP, JSON/REST)	Rein informativ, kein Punktabzug	keine
14.1.1	Schema für XML	„XML“ gewählt, aber kein vollständiges XSD/WSDL bestätigt	Warnung
14.1.2	Schutz gegen JSON DoS	Mindestens eine der sechs Prüfungen deaktiviert	Warnung
14.2	Beschränkung per IP oder Subnetz	Aktiviert, aber Regel unvollständig (Endpunkt oder IP fehlt)	Warnung
14.3	Beschreibungsdatei der API	Frage 14 = „Ja“, aber keine Beschreibungsdatei (OpenAPI/Swagger, gRPC Proto)	Warnung
15	Maskierung von Fehlercodes des Backends	„Nein“ (Fehlerseiten des Backends bleiben unmaskiert)	Warnung
15.1	Ausnahmen von der Maskierung	Mindestens ein Code aus dem 5xx-Bereich in den Ausnahmen	Warnung
16	Entfernung von X-Headern	„Nein“ (X-Header werden unverändert durchgereicht)	Warnung
16.1	Ausnahmen in der Antwort	Bekannter, Technologie verratender Header ausgenommen	Warnung
16.2	Ausnahmen in der Anfrage	X-Forwarded-For, X-Original-URL oder X-Rewrite-URL ausgenommen	Warnung
17	Entfernung interner FQDNs	„Nein“ (interne FQDNs verbleiben in Headern)	Warnung
18	Security Response Header	Mindestens einer der vier Header (CSP, Referrer-Policy, X-Frame-Options, X-XSS-Protection) deaktiviert	Warnung
19	Erkennung von CVEs per Signatur	„Nein“ (Erkennung vollständig deaktiviert)	Kritisch

Versionsverlauf

Versionen vergleichen

1 Welche TLS/SSL-Version soll der ALG-Dienst im Frontend unterstützen? ?

Wie funktioniert TLS/SSL?

TLS-Versionen im Überblick

2 Welche TLS/SSL-Version soll der ALG-Dienst im Backend nutzen/unterstützen? ?

Wie funktioniert TLS/SSL im Backend?

TLS-Versionen im Überblick

3 Der ALG-Dienst hat im Default kein WebSocket aktiviert. Benötigt das Verfahren zwingend WebSocket? ?

Was ist WebSocket?

Typische Einsatzbereiche

Alternativen ohne Ausnahmegenehmigung

🔒 Sicherheitsbetrachtung

4 Welche HTTP-Protokollversion wird benötigt? ?

HTTP-Versionen im Überblick

5 Welche zusätzlichen HTTP-Methoden zu GET und HEAD sollen unterstützt werden? ?

HTTP-Methoden im Überblick

6 Welche FQDNs sollen den Zugriff auf den Webdienst erlauben? ?

Was ist ein FQDN?

7 Sollen bestimmte Pfade oder Dateitypen für den Zugriff über den ALG-Dienst erlaubt oder gesperrt werden? ?

Wie wirken Positiv- und Negativliste zusammen?

✅ Empfehlung: mit der Positivliste arbeiten

✅ Erlaubte Pfade/Dateien (Positivliste)

🚫 Gesperrte Pfade/Dateien (Negativliste)

🔍 Vorschau: Beispielhafte Pfade

8 Wie lang darf eine URL maximal sein? ?

Warum gibt es ein Limit für die URL-Länge?

🔒 Sicherheitsbetrachtung

9 Wie viele Zeichen darf ein HTTP-Header maximal lang sein? ?

Warum gibt es ein Limit für die Header-Länge?

🔒 Sicherheitsbetrachtung

10 Wie viele Zeichen darf ein Cookie maximal lang sein? ?

Warum gibt es ein Limit für die Cookie-Länge?

🔒 Sicherheitsbetrachtung

11 Wie groß darf der Request-Body maximal sein? ?

Warum gibt es ein Limit für die Body-Größe?

🔒 Sicherheitsbetrachtung

12 Wie viele HTTP-Header darf eine Anfrage maximal enthalten? ?

Warum gibt es ein Limit für die Anzahl der Header?

🔒 Sicherheitsbetrachtung

13 Gibt es auf der Webseite Stellen, an denen Daten vom Nutzer entgegengenommen bzw. übertragen werden? ?

Warum prüfen wir auf XSS, SQL-Injection und Command Injection?

🔒 Wichtig

🔒 Grenzen der ALG-Prüfung

14 Kommt eine öffentliche API zum Einsatz? ?

Warum eine eigene Betrachtung für APIs?

14.1 In welchen Datenformaten werden Daten übertragen? (Mehrfachauswahl möglich) ?

Wie prüft der ALG-Dienst XML- bzw. JSON-Daten?

🔒 Wichtig

14.1.1 Liegt für die XML-Prüfung ein vollständiges XSD/WSDL-Schema vor? ?

Warum ein vollständiges, in sich geschlossenes Schema?

14.1.2 JSON-Denial-of-Service-Schutz: Welche Prüfungen und Grenzwerte sollen aktiv sein? ?

Was macht der JSON-Denial-of-Service-Schutz?

🔒 Wichtig

14.2 Soll der Zugriff auf API-Endpunkte per IP-Adresse/Subnetz eingeschränkt werden? ?

Wie funktioniert die IP-/Subnetz-Beschränkung?

🔒 Wichtig

Modus

Regeln (Endpunkt + IP-Adresse/Subnetz)

14.3 Liegt für die API eine Beschreibungsdatei (Spec) vor? ?

Was ist eine API-Beschreibungsdatei?

🔒 Wichtig

15 Sollen Fehlercodes des Backends maskiert werden? ?

Warum Backend-Fehlercodes maskieren?

🔒 Wichtig

15.1 Sollen einzelne Fehlercodes von der Maskierung ausgenommen werden? ?

Wann sind Ausnahmen sinnvoll?

15.2 Welche Backend-Laufzeitumgebungen/Frameworks kommen zum Einsatz? ?

Warum nach Backend-Technologie fragen?

16 Sollen X-Header entfernt werden? ?

Warum X-Header entfernen?

🔒 Wichtig

16.1 Welche X-Header sollen in der Antwort erhalten bleiben? ?

Wann sind Ausnahmen sinnvoll?

⚠ Nicht ausnehmen

16.2 Welche X-Header sollen in der Anfrage erhalten bleiben? ?

Wann sind Ausnahmen sinnvoll?

⚠ Nicht ausnehmen

17 Sollen interne FQDNs aus Headern entfernt werden? ?

Warum interne FQDNs aus Headern entfernen?

1 Welche TLS/SSL-Version soll der ALG-Dienst im Frontend unterstützen?

2 Welche TLS/SSL-Version soll der ALG-Dienst im Backend nutzen/unterstützen?

3 Der ALG-Dienst hat im Default kein WebSocket aktiviert. Benötigt das Verfahren zwingend WebSocket?

4 Welche HTTP-Protokollversion wird benötigt?

5 Welche zusätzlichen HTTP-Methoden zu GET und HEAD sollen unterstützt werden?

6 Welche FQDNs sollen den Zugriff auf den Webdienst erlauben?

7 Sollen bestimmte Pfade oder Dateitypen für den Zugriff über den ALG-Dienst erlaubt oder gesperrt werden?

8 Wie lang darf eine URL maximal sein?

9 Wie viele Zeichen darf ein HTTP-Header maximal lang sein?

10 Wie viele Zeichen darf ein Cookie maximal lang sein?

11 Wie groß darf der Request-Body maximal sein?

12 Wie viele HTTP-Header darf eine Anfrage maximal enthalten?

13 Gibt es auf der Webseite Stellen, an denen Daten vom Nutzer entgegengenommen bzw. übertragen werden?

14 Kommt eine öffentliche API zum Einsatz?

14.1 In welchen Datenformaten werden Daten übertragen? (Mehrfachauswahl möglich)

14.1.1 Liegt für die XML-Prüfung ein vollständiges XSD/WSDL-Schema vor?

14.1.2 JSON-Denial-of-Service-Schutz: Welche Prüfungen und Grenzwerte sollen aktiv sein?

14.2 Soll der Zugriff auf API-Endpunkte per IP-Adresse/Subnetz eingeschränkt werden?

14.3 Liegt für die API eine Beschreibungsdatei (Spec) vor?

15 Sollen Fehlercodes des Backends maskiert werden?

15.1 Sollen einzelne Fehlercodes von der Maskierung ausgenommen werden?

15.2 Welche Backend-Laufzeitumgebungen/Frameworks kommen zum Einsatz?

16 Sollen X-Header entfernt werden?

16.1 Welche X-Header sollen in der Antwort erhalten bleiben?

16.2 Welche X-Header sollen in der Anfrage erhalten bleiben?

17 Sollen interne FQDNs aus Headern entfernt werden?

17.1 Sollen weitere interne Domains nach außen maskiert werden?

18 Sollen Security-Response-Header gesetzt werden?

19 Sollen bekannte CVEs anhand von Signaturen (letzte 2 Jahre) erkannt und blockiert werden?

19.1 Sollen einzelne Signaturen/CVEs als bekannte False Positives ausgeschlossen werden?