Tech Blog

Eine kritische Sicherheitslücke im WordPress-Plugin MW WP Form ermöglicht es Angreifern, beliebige Dateien auf dem Server zu verschieben, darunter auch die wp-config.php. Dies kann zu einer Übernahme der Webseite führen. Das Problem betrifft über 200.000 WordPress-Installationen und wurde vom Sicherheitsforscher ISMAILSHADOW entdeckt. Nutzer sollten das Plugin umgehend auf Version 5.1.1 aktualisieren.

Eine kritische Sicherheitslücke in der Open-Source-Plattform NocoBase ermöglicht Angreifern den Ausbruch aus der Sandbox und den Erhalt von Root-Zugriff auf dem System. Die Schwachstelle, die als CVE-2026-23830 katalogisiert ist, weist eine CVSS-Bewertung von 10.0 auf und sollte dringend gepatcht werden.

Eine kritische SQL-Injection-Lücke mit CVSS-Score 9.3 in der Python-ORM-Bibliothek MikroORM bedroht geschätzt 2 Millionen monatliche Nutzer. Die Schwachstelle erlaubt es Angreifern, willkürlichen SQL-Code auszuführen. Betroffen sind Anwendungen, die MikroORM einsetzen. Entwickler sollten dringend das Update auf die gepatzte Version anwenden, um ihre Systeme zu schützen.

Ein Sicherheitsforscher hat eine schwerwiegende Sicherheitslücke in FreeBSD entdeckt, die es Angreifern ermöglicht, aus der Ferne die volle Kontrolle über das System zu erlangen. Die Schwachstelle, bekannt als CVE-2026-4747, betrifft den Kernel von FreeBSD und kann von Angreifern ausgenutzt werden, um einen Root-Shell-Zugriff zu erlangen. Admins sollten dringend das betroffene System patchen, sobald ein Update verfügbar ist.

Eine Zero-Day-Lücke in der Videokonferenz-Software TrueConf ermöglichte Hackern, sichere Updates für Spionagezwecke zu missbrauchen. Die Schwachstelle CVE-2026-3502 wurde in einer Regierungskampagne namens "TrueChaos" ausgenutzt, um unbemerkt Zugriff auf Systeme zu erlangen. Betroffen waren sowohl private Nutzer als auch Behörden. Hersteller TrueConf hat mittlerweile ein Sicherheitsupdate veröffentlicht, um die Lücke zu schließen.

Eine kritische Sicherheitslücke in der REST-API und Web-Oberfläche des Cisco Nexus Dashboard Fabric Controllers ermöglicht es einem authentifizierten, niedrigprivilegierten Angreifer, Befehle auf dem Gerät auszuführen. Die Schwachstelle basiert auf unzureichender Benutzerberechtigungsprüfung und mangelnder Validierung von Befehlsargumenten. Ein erfolgreicher Angriff könnte dem Angreifer Netzwerk-Admin-Rechte auf dem Gerät verschaffen. Cisco hat Updates veröffentlicht, um diese Lücke zu schließen.

Eine Schwachstelle in der WebUSB-Implementierung von Google Chrome vor Version 146.0.7680.178 ermöglichte es Angreifern, potenziell sensible Informationen aus dem Arbeitsspeicher auszulesen. Die Lücke wurde als "hoch" eingestuft und sollte zeitnah durch ein Update geschlossen werden.

Eine Sicherheitslücke mit der Bewertung "Hoch" wurde in der Komponente "Parameter Handler" des Code-Projects Simple Laundry System 1.0 entdeckt. Die Schwachstelle ermöglicht die Manipulation des Argumentes "userid" und führt zu einer SQL-Injection. Der Exploit ist bereits öffentlich bekannt und kann daher von Angreifern ausgenutzt werden.

Eine kritische Sicherheitslücke im WordPress-Plugin "Export All URLs" vor Version 5.1 erlaubt es nicht autorisierten Nutzern, auf vertrauliche Daten zuzugreifen. Das Plugin speichert CSV-Dateien mit URLs von Beiträgen, darunter auch private Inhalte, in einem öffentlich zugänglichen Verzeichnis. Angreifer können die Dateinamen durch Brute-Force-Attacken erraten und so sensible Informationen abgreifen.

Eine Sicherheitslücke in den Versionen 3.2.0 bis 3.6.19 und 4.0 bis 4.0.4 des Juju-Konfigurationsmanagement-Tools erlaubt es Angreifern, sich ohne Authentifizierung in den internen Dqlite-Datenbankcluster einzuklinken. Dadurch erlangen sie uneingeschränkten Lese- und Schreibzugriff auf die zugrunde liegende Datenbank, was zu einem vollständigen Datenverlust führen kann. CVE-2026-4370 sollte daher schnellstmöglich durch Aktualisierung auf eine nicht betroffene Version behoben werden.