Tech Blog

Eine Sicherheitslücke mit der CVE-ID CVE-2026-3909 in der Grafikbibliothek Skia von Google Chrome ermöglicht es Angreifern, über eine manipulierte HTML-Seite unkontrollierten Speicherzugriff zu erlangen. Das Ganze wird vom Chromium-Projekt als "Hoch" eingestuft. Betroffene Nutzer sollten dringend auf die Version 146.0.7680.75 oder höher aktualisieren, um sich vor diesem Problem zu schützen.

In der Tiandy Easy7 Integrated Management Plattform bis Version 7.17.0 wurde eine kritische Schwachstelle mit dem CVE-ID CVE-2026-4585 entdeckt. Durch Manipulation des "File"-Arguments in der Datei "/Easy7/apps/WebService/ImportSystemConfiguration.jsp" kann eine Ausführung von Betriebssystemkommandos erfolgen. Der Angriff lässt sich von außen durchführen. Leider hat der Hersteller bislang nicht auf die Offenlegung der Schwachstelle reagiert.

Eine Sicherheitslücke in Veeam Backup & Replication für Windows-Systeme ermöglicht lokale Benutzer die Rechteausweitung auf dem System. Die Schwachstelle hat den Schweregrad "Hoch" (8.8) und sollte zeitnah behoben werden. Anwender werden empfohlen, das System zeitnah zu aktualisieren, sobald ein Patch verfügbar ist.

Das WordPress-Plugin "MimeTypes Link Icons" ist bis einschließlich Version 3.2.20 von einer Server-Side-Request-Forgery-Schwachstelle betroffen. Authentifizierte Angreifer mit Contributor-Rechung oder höher können über präparierte Links in Beiträgen beliebige Webaufrufe tätigen und interne Dienste ausspähen oder manipulieren. Ein Patch ist erforderlich, um diese kritische Sicherheitslücke zu schließen.

Eine Schwachstelle mit hoher Schwere (CVE-2024-33065, CVSS 8.4) führt zu Speicherbeschädigung beim Erstellen von Kamera-Snapshots. Der Fehler tritt auf, wenn ein Offset-Wert vom Kamera-Treiber gesetzt wird. Sicherheitsexperten raten zu zeitnaher Aktualisierung der betroffenen Treiber, um Angriffe zu verhindern.

In WWBN AVideo Versionen bis 25.0 wird standardmäßig das Passwort "password" für den Adminaccount verwendet, was eine direkte Übernahme des Systems ermöglicht. Ohne Änderung des Standardpassworts sind Datenlecks, Manipulationen und potenzielle Remote-Code-Ausführung möglich. Die Schwachstelle wird durch eine schwache Hashfunktion und fehlende Sicherheitskontrollen verstärkt. Ein Patch ist in Version 26.0 verfügbar.

Das WordPress Plugin "The Ultimate WordPress Toolkit – WP Extended" ist bis einschließlich Version 3.2.4 von einer Privilege Escalation-Schwachstelle betroffen. Authentifizierte Angreifer mit Subscriber-Rechten oder höher können durch Anhängen eines präparierten Query-Parameters an eine Admin-URL administrative Rechte erlangen und so neue Administrator-Accounts erstellen.

Eine kritische Schwachstelle mit hoher Gefährdung (CVE-2026-4535) wurde im Tenda FH451 Router Firmware 1.0.0.9 entdeckt. Der Angriff kann über eine manipulierte Funktion im Web-Interface ausgeführt werden und führt zu einem Pufferüberlauf. Dies ermöglicht potenziell die Ausführung beliebigen Codes auf dem Gerät. Ein öffentlicher Exploit ist bereits verfügbar, sodass Sicherheitsverantwortliche zeitnah reagieren und betroffene Geräte patchen sollten.

Die Schwachstelle CVE-2019-25619 in der Version 6.83 des FTP-Shell-Servers ermöglicht es lokalen Angreifern, durch Eingabe einer präparierten Zeichenkette in das "Account name to ban"-Feld beliebigen Code auszuführen. Angreifer können so Schadcode injizieren und Systeme kompromittieren. Ein Patch ist verfügbar, der dieses Problem behebt.

Eine kritische Pufferüberlauf-Schwachstelle in Free Float FTP 1.0 ermöglicht es Remote-Angreifern, durch Senden eines präparierten STOR-Befehls beliebigen Code auf dem FTP-Server auszuführen. Angreifer können sich mit anonymen Zugangsdaten authentifizieren und den manipulierten STOR-Befehl senden, um die Schwachstelle auszunutzen. Betreiber sollten umgehend auf eine aktualisierte Version des FTP-Servers wechseln, sofern verfügbar.