Tech Blog

Eine kritische Schwachstelle in der LibRaw-Bibliothek ermöglicht Angreifern das Ausführen von beliebigem Code durch einen speziell präparierten Dateiinhalt. Die Lücke betrifft die HuffTable::initval-Funktionalität und kann zu einem Heap-Pufferüberlauf führen. Entwickler sollten dringend ein Update auf eine Version mit dem Patch installieren, um das Risiko einer Kompromittierung zu minimieren.

Eine kritische Sicherheitslücke in Docker Engine (CVE-2026-34040) erlaubt Angreifern unter bestimmten Umständen, Autorisierungskontrollen zu umgehen und Zugriff auf den Host-Rechner zu erlangen. Das Problem basiert auf einem unvollständigen Fix für eine zuvor bekannte Schwachstelle (CVE-2024-41110) und erhält einen CVSS-Schweregrad von 8,8.

Eine Sicherheitslücke mit einem CVSS-Score von 10,0 in der IT-Sicherheitssoftware Kestra erlaubt Angreifern, durch SQL-Injektion die volle Kontrolle über den Server zu erlangen. Betroffen sind alle Versionen von Kestra. Ein Patch ist dringend erforderlich, um die kritische Schwachstelle zu schließen.

Forscher haben eine kritische Sicherheitslücke in der Convoy-Plattform entdeckt, die es Angreifern ermöglicht, ohne Authentifizierung Remotecode auf KVM-Servern auszuführen. Die Schwachstelle mit der Kennung CVE-2025-52562 weist einen CVSS-Score von 10.0 auf und sollte dringend gepatcht werden, um Systeme vor Kompromittierung zu schützen.

Forscher haben fünf neue Sicherheitslücken in der Electron-Plattform entdeckt, die die Kontext-Isolation zwischen Renderer- und Hauptprozess aushebeln können. Die Schwachstellen ermöglichen Angreifern den Escape aus der Sandbox und potenziell die Ausführung von Schadcode. Betroffen sind diverse Electron-basierte Anwendungen. Hersteller sollten dringend die Patches einspielen, um ihre Nutzer vor Missbrauch zu schützen.

Das WordPress-Plugin "Ninja Forms - File Uploads" enthält eine Schwachstelle, die es Angreifern ermöglicht, beliebige Dateien hochzuladen. Dies ist auf eine unzureichende Überprüfung der Dateitypen in der Upload-Funktion zurückzuführen. Das Problem betrifft alle Versionen bis einschließlich 3.3.26 und kann zur Ausführung von Schadcode auf dem Server führen. Obwohl in Version 3.3.25 ein Teilfix veröffentlicht wurde, ist die vollständige Lösung erst mit Version 3.3.27 verfügbar.

Sicherheitsforscher berichten über eine maximale Schwachstelle (CVSS 10.0) in der Open-Source-KI-Plattform Flowise, die Angreifern die Ausführung von Schadcode ermöglicht. Über 12.000 Instanzen sollen betroffen sein. Der Patch ist dringend erforderlich, um Systeme vor Kompromittierung zu schützen.

Eine Sicherheitslücke in der tdeleteFile()-Funktion des Go-basierten Webservers "goshs" ermöglicht es Angreifern, Dateipfade zu manipulieren und auf sensible Dateien auf dem Server zuzugreifen. Betroffen sind Versionen vor 2.0.0-beta.3. Nutzer werden dringend empfohlen, auf die aktuelle Version 2.0.0-beta.3 oder höher zu aktualisieren, um diese kritische Schwachstelle (CVE-2026-35471) zu schließen.

Eine Schwachstelle in der SMS-Verarbeitung von Samsung-Mobilprozessoren wie Exynos 980, 990 und anderen ermöglicht einen Stapel-basierten Pufferüberlauf. Angreifer könnten dadurch die Kontrolle über das System erlangen. Betroffene Nutzer sollten umgehend Sicherheitsupdates von Samsung installieren, sobald diese verfügbar sind.

Eine schwerwiegende Schwachstelle (CVE-2025-47392, CVSS 8.8) wurde in der Verarbeitung von beschädigten Satellitendaten-Dateien mit ungültigen Signaturoffsets entdeckt. Dies kann zu Speicherkorrumpierung führen. Betroffen sind Anwendungen, die solche Dateien einlesen. Ein Patch ist dringend erforderlich, um die Systeme vor Angriffen zu schützen.