Tech Blog

Das WordPress-Plugin "Product Filter for WooCommerce" vor Version 3.1.3 weist eine kritische SQL-Injection-Schwachstelle auf. Unbefugte Nutzer können damit Datenbankabfragen manipulieren und so potenziell auf sensible Informationen zugreifen. Der Hersteller hat mittlerweile ein Sicherheitsupdate veröffentlicht, das Sysadmins zeitnah einspielen sollten.

Eine kritische Sicherheitslücke in der Axios-Bibliothek ermöglicht Angreifern die Ausführung von Schadcode. Die Schwachstelle betrifft Versionen vor 1.15.0 und kann durch Prototype Pollution in Abhängigkeiten bis hin zur Kompromittierung von Cloud-Infrastrukturen (AWS IMDSv2-Bypass) ausgenutzt werden. Der Hersteller hat das Problem in Version 1.15.0 behoben. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-40175, CVE-2026-34612).

Eine Deserialisierungs-Sicherheitslücke in Apache Storm vor Version 2.8.6 ermöglicht es Angreifern, durch manipulierte Topologie-Anmeldedaten Remote Code Execution in den Nimbus- und Worker-JVMs auszuführen. Betroffen sind alle Nutzer vor der Versionsaktualisierung auf 2.8.6. Als Gegenmaßnahme wird empfohlen, umgehend auf die aktuellste Version zu aktualisieren oder eine Objektfilter-Whitelist als Übergangslösung zu implementieren.

Eine kritische Schwachstelle im Dokumenten-Management-System von ENOVIA Collaborative Industry Innovator ermöglicht Angreifern die Ausführung beliebiger Skripte im Browser des Nutzers. Betroffen sind die Versionen R2023x bis R2025x. Ein Patch ist erforderlich, um diese Stored Cross-Site-Scripting-Lücke (CVE-2025-10551, CVSS 8.7) zu schließen.

Eine kritische Schwachstelle in Samsung-Mobilprozessoren, Wearable-Prozessoren und Modems der Exynos-Serie ermöglicht eine Out-of-Bounds-Schreibattacke. Die Lücke tritt beim Verarbeiten von SMS-Nachrichten auf und kann von Angreifern ausgenutzt werden. Betroffene Nutzer sollten dringend Sicherheitsupdates installieren, sobald diese von Samsung bereitgestellt werden.

In einem Totolink-Router wurde eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-6140 entdeckt. Durch Manipulation des Dateinamens-Arguments in der Firmware-Update-Funktion kann Remote Code Execution ausgeführt werden. Der Exploit ist bereits öffentlich bekannt und könnte von Angreifern missbraucht werden. Betroffene Nutzer sollten dringend ein Firmware-Update einspielen, sobald es verfügbar ist.

In den Versionen 149.0.1 von Firefox und Thunderbird wurden Speichersicherheitslücken entdeckt. Diese Schwachstellen mit der CVE-ID CVE-2026-5735 könnten bei entsprechendem Aufwand zur Ausführung von Schadcode missbraucht werden. Die Lücken wurden in den Versionen 149.0.2 behoben. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-5735, CVE-2026-5732, CVE-2026-5731).

Mehrere Speicherfehler in den aktuellen Versionen von Firefox und Thunderbird führen zu Speicherkorrumpierung und ermöglichen möglicherweise die Ausführung von Schadcode. Die Lücke mit der CVE-ID CVE-2026-5734 wurde als "Hoch" eingestuft und in den Versionen 149.0.2 und 140.9.1 behoben.

In den Firefox- und Thunderbird-Versionen 149.0.2 wurde eine kritische Sicherheitslücke mit CVE-2026-5733 behoben. Die Schwachstelle betraf die Grafikkomponente WebGPU und ermöglichte unter bestimmten Umständen potenziell die Ausführung von Schadcode. Nutzer sollten umgehend auf die aktuellen Versionen 149.0.2 oder höher aktualisieren, um sich vor dieser Sicherheitslücke mit hoher Risikoeinschätzung (8.8) zu schützen.

In der ANGLE-Komponente von Google Chrome auf macOS wurde eine Sicherheitslücke mit hohem Schweregrad (8.8) entdeckt. Angreifer können über eine präparierte HTML-Seite beliebigen Code in der Sandbox-Umgebung des Browsers ausführen. Google hat das Problem in Version 147.0.7727.55 behoben, Anwender sollten daher zeitnah auf den aktuellen Stand updaten.