Tech Blog

Autonome KI-Agenten, die 2025 in Unternehmen Einzug halten, bringen neue Sicherheitsrisiken mit sich. Durch "Indirect Prompt Injection" können Angreifer die Agenten dazu bringen, sensible Daten zu stehlen oder schädliche Aktionen auszuführen. Unternehmen müssen ihre Verteidigungsstrategien anpassen, um die Bedrohung durch diese "digitalen Mitarbeiter" zu adressieren.

Eine schwerwiegende Sicherheitslücke im WordPress-Plugin "WPvivid" (CVE-2026-1357) erlaubt es Angreifern, ohne Authentifizierung beliebige PHP-Dateien hochzuladen und damit die komplette Kontrolle über die betroffenen Websites zu übernehmen. Betreiber sollten das Plugin umgehend auf die neueste Version aktualisieren, um ihre Systeme vor dieser kritischen Schwachstelle zu schützen.

Eine Sicherheitslücke in LavaLite CMS 10.1.0 ermöglicht es Nutzern mit geringen Berechtigungen, direkt auf das Admin-Backend zuzugreifen. Das Problem entsteht, da die Authentifizierung von Admins und Nutzern den gleichen Mechanismus verwendet, ohne eine rollenbasierte Zugriffskontrolle zu implementieren.

Eine kritische SQL-Injection-Schwachstelle mit hohem Schweregrad (CVE-2025-7631) wurde in der Tumeva News Software entdeckt. Angreifer können diese Lücke ausnutzen, um beliebigen SQL-Code auszuführen. Der Hersteller wurde informiert, reagierte jedoch nicht. Admins sollten dringend ein Update einspielen, sobald es verfügbar ist.

Eine schwerwiegende SQL-Injection-Schwachstelle in der Webapplikation ChurchCRM ermöglicht es Angreifern mit geringsten Berechtigungen, beliebigen SQL-Code auszuführen. Die Lücke betrifft die Version 6.7.1 und früher und wurde in Version 6.7.2 behoben. Administratoren sollten das Update zeitnah einspielen, um ihre Systeme vor Missbrauch zu schützen.

In Modems wurde eine Schwachstelle entdeckt, die eine Out-of-Bounds-Schreiboperation ermöglicht. Dadurch können Angreifer, die eine Verbindung zu einer manipulierten Basisstation hergestellt haben, ihre Rechte auf dem Gerät ohne weitere Ausführungsrechte ausweiten. Eine Interaktion des Nutzers ist für den Missbrauch nicht erforderlich. Der Patch trägt die ID MOLY01123853 und die Fehlernummer ist MSV-4131.

Eine kritische Sicherheitslücke in der Helpdesk-Komponente des Tendenci-CMS ermöglicht Remotecodeausführung (RCE) für authentifizierte Nutzer mit Mitarbeiterrechten. Die Schwachstelle besteht in der unsicheren Deserialisierung von Python-Objekten und wurde unvollständig gepatcht. Betroffen sind Versionen bis 15.3.11, das Problem wurde in 15.3.12 behoben.

Die Version 2.5.6 des jizhicms-Content-Management-Systems ist anfällig für SQL-Injektion in den Funktionen "Article/deleteAll" und "Extmolds/deleteAll". Angreifer können über den "data"-Parameter beliebige SQL-Befehle ausführen und so Daten löschen. Ein Patch ist bisher nicht verfügbar, Administratoren sollten das System daher umgehend aktualisieren oder alternative Maßnahmen ergreifen.

Eine Sicherheitslücke in Intelbras VIP 3260 Z IA 2.840.00IB005.0.T ermöglicht die Umgehung der Passwort-Wiederherstellung. Die Schwachstelle betrifft eine unbekannte Funktionalität in der Datei /OutsideCmd und kann aus der Ferne ausgenutzt werden. Obwohl die Ausnutzung komplex ist, wird empfohlen, das betroffene Gerät zeitnah zu aktualisieren.

Diese Woche zeigt, wie kleine Schwachstellen zu großen Einfallstore werden können - nicht immer durch neue Exploits, sondern oft durch vermeintlich vertrauenswürdige Tools, Add-ons oder Cloud-Setups. Angreifer kombinieren dabei alte und neue Methoden wie Legacy-Botnetz-Taktiken, Cloud-Missbrauch, KI-Unterstützung und Supply-Chain-Schwachstellen. Sysadmins müssen diese Entwicklungen im Blick behalten, um ihre Systeme effektiv zu schützen.