Tech Blog

Forscher haben mehrere kritische Sicherheitslücken in Ingress NGINX, einem weit verbreiteten Kubernetes-Verkehrscontroller, entdeckt. Die Schwachstellen CVE-2026-24512 und CVE-2026-1580 ermöglichen es Angreifern, Zugriff auf interne Ressourcen zu erlangen und sogar Code auszuführen. Kubernetes-Administratoren werden dringend empfohlen, umgehend auf eine neuere, nicht betroffene Version zu aktualisieren, da der Support für Ingress NGINX in Kürze endet.

In der Kubernetes-Ingress-Lösung ingress-nginx wurde eine schwerwiegende Sicherheitslücke entdeckt. Über die `nginx.ingress.kubernetes.io/auth-proxy-set-headers`-Annotation können Angreifer beliebige Konfigurationen in nginx injizieren und so Schadcode ausführen. Betroffen sind auch Geheimnisse, auf die der Ingress-Controller Zugriff hat. Ein Patch ist dringend erforderlich, um die Systeme vor Kompromittierung zu schützen.

In Esri Portal für ArcGIS Sites Versionen 11.1 und älter existiert eine kritische Sicherheitslücke, die es einem authentifizierten Angreifer mit hohen Rechten ermöglicht, einen manipulierten Link in der Sitekonfiguration zu hinterlassen. Wird dieser Link von einem Opfer aufgerufen, kann der Angreifer beliebigen JavaScript-Code im Browser des Opfers ausführen. Dies kann zu Datenverlust, Integritätsverletzungen und Verfügbarkeitsproblemen führen.

In der Student-Management-Software itsourcecode 1.0 wurde eine kritische SQL-Injection-Schwachstelle in der Datei /ramonsys/soa/index.php entdeckt. Angreifer können die ID-Parameter manipulieren und so Daten auslesen oder sogar die Kontrolle über das System erlangen. Ein Exploit ist bereits öffentlich verfügbar, Admins sollten dringend ein Update einspielen.

Eine kritische Use-After-Free-Sicherheitslücke mit hoher Schwere (CVSS 8.4) wurde im Grafikmodul entdeckt. Erfolgreiche Ausnutzung kann die Verfügbarkeit beeinträchtigen. Administratoren sollten umgehend nach Patches Ausschau halten und die Systeme aktualisieren, um sich vor möglichen Angriffen zu schützen.

Eine kritische Sicherheitslücke (CVE-2026-24926) im Kamera-Modul ermöglicht Angreifern, durch Ausnutzung eines Pufferüberlaufs, die Verfügbarkeit zu beeinträchtigen. Administratoren sollten dringend Patches oder Workarounds anwenden, um ihre Systeme vor Kompromittierung zu schützen.

Eine kritische Sicherheitslücke mit CVE-ID CVE-2026-2017 wurde in IP-COM W30AP-Routern bis Version 1.0.0.11(1340) entdeckt. Die Schwachstelle ermöglicht Angreifern aus der Ferne einen stapelbasierten Pufferüberlauf auszunutzen. Der Exploit ist bereits öffentlich bekannt und kann missbraucht werden. Der Hersteller wurde zwar informiert, reagierte aber nicht.

In der KI-Gateway-Software Portkey.ai gab es vor Version 1.14.0 eine kritische Sicherheitslücke, die für Server-seitige Request Forgery (SSRF) Angriffe missbraucht werden konnte. Durch Manipulation des "x-portkey-custom-host" Headers konnte der Ziel-Server kontrolliert werden. Anwender sollten dringend auf die aktuelle Version 1.14.0 updaten, in der diese Schwachstelle behoben wurde. Insgesamt wurden 4 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-66405, CVE-2026-0631, CVE-2026-22222, CVE-2026-22223).

Die Sicherheitslücke CVE-2025-66401 mit einem kritischen Schweregrad von 9.8 wurde in der Versionn 0.1.2 und älter des MCP Watch Sicherheitsscanner entdeckt. Durch eine Schwachstelle in der "cloneRepo"-Methode können Angreifer über manipulierte GitHub-URLs beliebigen Schadcode auf dem betroffenen System ausführen. Administratoren sollten dringend ein Update auf die neueste Version von MCP Watch durchführen, um diese Lücke zu schließen.

Eine kritische Sicherheitslücke in TP-Link Archer BE230 v1.2 ermöglicht es einem autorisierten Angreifer, willkürlichen Code auszuführen. Die Schwachstelle (CVE-2026-0630) mit einem Schweregrad von 8.0 "Hoch" kann zu einer vollständigen Übernahme des Geräts führen und die Konfiguration, Netzwerksicherheit und Verfügbarkeit kompromittieren. Ein Patch ist erforderlich, um diese Anfälligkeit zu beheben. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-0630, CVE-2026-22221).