Tech Blog

Eine kritische Sicherheitslücke im WordPress-Plugin "Smart Slider 3" ermöglicht es Angreifern mit Nutzerrechten ab "Abonnent", beliebige Dateien auf dem Server auszulesen, darunter sensible Informationen wie Datenbank-Zugangsdaten. Betroffen sind über 800.000 WordPress-Websites. Der Hersteller hat das Problem in Version 3.5.1.34 behoben.

Eine hochgefährliche SQL-Injection-Schwachstelle (CVE-2026-23921) in der Zabbix-API ermöglicht es Angreifern, die Kontrolle über das Netzwerküberwachungssystem zu erlangen. Sysadmins sollten dringend ein Sicherheitsupdate einspielen, um ihre Infrastruktur vor Kompromittierung zu schützen.

Hacker nutzen aktuell eine kritische Sicherheitslücke (CVE-2025-6584) im Kali Forms WordPress Plugin aus, die Remote-Code-Execution ermöglicht. Betroffen sind WordPress-Websites, die dieses Plugin einsetzen. Admins sollten dringend ein Update installieren, um ihre Systeme vor Kompromittierung zu schützen.

Das Masteriyo LMS Plugin für WordPress weist eine Schwachstelle auf, die es authentifizierten Nutzern mit Student-Zugriff oder höher ermöglicht, ihre Berechtigungen zu erhöhen. Der Fehler liegt in der unzureichenden Überprüfung von Benutzerrechten in der Funktion "InstructorsController::prepare_object_for_database". Angreifer können so ihre Rechte bis hin zum Admin-Zugriff ausweiten. Für WordPress-Websites, die das betroffene Plugin nutzen, besteht erhebliches Sicherheitsrisiko.

NVIDIA hat Sicherheitslücken mit kritischer Einstufung in seinen maschinellen Lernframeworks behoben. Die Schwachstellen CVE-2025-23316 (CVSS 9.8) und weitere erlauben Angreifern Remotecodeausführung und Denial-of-Service-Attacken. Betroffen sind unter anderem Triton Inference Server, Isaac Lab und NeMo Framework. Nutzer sollten die bereitgestellten Patches zeitnah einspielen, um ihre KI-Systeme vor Kompromittierung zu schützen.

Sicherheitsforscher haben öffentliche Schwachstellen in Cisco IOx entdeckt, die es Angreifern ermöglichen, ohne Authentifizierung Protokolleinträge zu manipulieren und Admin-XSS-Angriffe durchzuführen. Betroffen sind die Cisco-Plattformen IOx und IOS XE. Cisco hat Patches veröffentlicht, um diese kritischen Sicherheitslücken zu schließen. Admins sollten ihre Systeme umgehend aktualisieren, um Schaden von ihren Netzwerken abzuwenden.

Die Perl-Middleware Plack::Middleware::Session::Cookie bis Version 0.21 weist eine Sicherheitslücke auf, die es Angreifern ermöglicht, willkürlichen Code auf dem Server auszuführen. Dies ist möglich, wenn keine geheime Signatur für die Cookie-Daten verwendet wird. Betroffen sind alle Nutzer dieser Middleware, die keine ausreichende Absicherung ihrer Cookies implementiert haben.

Eine Sicherheitslücke in der Web-Oberfläche bestimmter ASUS-Router ermöglicht Cross-Site Request Forgery (CSRF)-Angriffe. Dadurch können Angreifer mit den Rechten des angemeldeten Nutzers Systemkommandos ausführen. ASUS hat ein Sicherheitsupdate veröffentlicht, das das Problem behebt.

Eine schwerwiegende Sicherheitslücke mit der CVE-ID CVE-2026-4840 wurde in Netcore Power 15AX bis 3.0.0.6938 entdeckt. Angreifer können durch Manipulation des IpAddr-Parameters der Diagnostic Tool Interface-Komponente Schadcode einschleusen und somit die Kontrolle über betroffene Systeme erlangen. Der Exploit ist bereits öffentlich verfügbar, der Hersteller hat bislang nicht reagiert. Admins sollten umgehend nach Updates Ausschau halten und die Systeme sichern.

Eine kritische Schwachstelle mit einem Puffer-Überlauf in iOS und iPadOS wurde behoben. Ein entfernter Angreifer könnte damit die Systemstabilität gefährden oder sogar den Kernel beschädigen. Ein Patch ist in den Versionen 26.4 verfügbar.