Tech Blog

Das WordPress-Plugin "Amelia Booking" ist bis einschließlich Version 9.1.2 anfällig für Insecure Direct Object References. Authentifizierte Angreifer mit Kundenzugriffsrechten oder höher können damit Passwörter ändern und potenziell Administratorkonten übernehmen. Die Schwachstelle betrifft die Pro-Version des Plugins.

Eine kritische SQL-Injection-Schwachstelle in der B2B-Software Netsis Panel ermöglicht es Angreifern, beliebigen SQL-Code auszuführen. Betroffen sind Versionen bis einschließlich 20251003. Der Hersteller Teknolojik Center Telecommunication Industry Trade Co. Ltd. wurde informiert, reagierte aber nicht. Admins sollten umgehend ein Sicherheitsupdate einspielen, um ihre Systeme vor Missbrauch zu schützen.

Eine kritische Schwachstelle im Wavlink WL-NU516U1 Router ermöglicht Angreifern einen Puffer-Überlauf und potenzielle Fernsteuerung des Geräts. Die Schwachstelle mit der CVE-ID 2026-4861 hat einen Schweregrad von 8.8 und wurde bereits öffentlich bekannt gemacht, ohne dass der Hersteller darauf reagiert hat. Admins sollten umgehend ein Firmware-Update einspielen, sobald dieses verfügbar ist, um ihre Systeme vor Angriffen zu schützen.

Eine kritische Sicherheitslücke in Restajet's Online-Lieferdienst ermöglicht die Ausbeutung des Password-Recovery-Mechanismus. Betroffen sind alle Versionen bis 19.12.2025. Der Hersteller reagierte auf die Offenlegung nicht. Systemadministratoren sollten dringend nach Updates Ausschau halten und die Zugangssicherheit überprüfen.

Eine Sicherheitslücke mit hoher Gefährdungsstufe wurde in UTT HiPER 1250GW Routern bis Version 3.2.7-210907-180535 entdeckt. Die Schwachstelle betrifft eine Funktion, die für Pufferüberlauf anfällig ist. Der Angriff kann aus der Ferne erfolgen, da die Schwachstelle öffentlich bekannt ist und ausgenutzt werden kann.

Eine kritische Schwachstelle in River Past Cam Do 3.7.6 ermöglicht es lokalen Angreifern, durch Eingabe eines manipulierten Aktivierungscodes willkürlichen Code auszuführen. Entwickler sollten dringend ein Update auf eine nicht betroffene Version bereitstellen, um Systeme vor dieser Sicherheitslücke zu schützen.

Eine Schwachstelle in der Keycloak-Implementierung des SAML-Brokers erlaubt es Angreifern, auch deaktivierte SAML-Clients zur Single-Sign-On-Anmeldung zu missbrauchen. Dadurch können sie sich ohne erneute Authentifizierung Zugriff auf andere aktivierte Clients verschaffen und die Sicherheitsmaßnahmen umgehen.

Eine kritische Sicherheitslücke in der Open-Source-Monitoring-Plattform OneUptime ermöglicht es einem Nutzer mit eingeschränkten Rechten, über die Ausführung von Playwright-Skripten in Synthetic Monitors beliebigen Schadcode auf dem Probe-Host auszuführen. Der Patch in Version 10.0.35 behebt dieses Problem.

Eine kritische Schwachstelle im Kiddy-Plugin für PHP ermöglicht es Angreifern, lokal Dateien einzubinden. Das Kiddy-Plugin ist von Version n/a bis 2.0.8 betroffen. Die Verwundbarkeit wurde mit einer Bewertung von 8.1 als "Hoch" eingestuft. Administratoren sollten das Plugin umgehend auf die neueste Version aktualisieren, um ihre Systeme vor möglichen Angriffen zu schützen.

Die Open-Source-Software pyLoad, ein Download-Manager für Python, wies bis Version 0.5.0b3.dev97 eine kritische Sicherheitslücke auf. Angreifer konnten durch eine Pfad-Traversal-Schwachstelle während der Passwortüberprüfung für verschlüsselte 7z-Archive beliebige Dateien außerhalb des Extraktionsverzeichnisses löschen. Der Patch in Version 0.5.0b3.dev97 behebt dieses Problem.