Tech Blog

In der oslabs-beta ThermaKube-Software wurde eine Sicherheitslücke im Zusammenhang mit hartkodierter Passwörter (CWE-259) entdeckt. Die Schwachstelle ermöglicht potenziell den unautorisierten Zugriff auf das Master-System. Admins sollten dringend nach einem Patch Ausschau halten und bis dahin Gegenmaßnahmen ergreifen, um das System vor Missbrauch zu schützen.

Eine kritische Sicherheitslücke im WordPress-Plugin ProfilePress erlaubt es angemeldeten Angreifern, die Abonnements anderer Nutzer zu kündigen. Die Schwachstelle betrifft alle Versionen bis einschließlich 4.16.11 und ermöglicht es Angreifern mit Subscriber-Rechten oder höher, fremde aktive Abonnements über den "change_plan_sub_id"-Parameter zu löschen. Betroffene Nutzer verlieren dadurch sofortigen Zugriff auf kostenpflichtige Inhalte.

Die Multimodal-Generation-Komponente von SGLang ist anfällig für eine unauthentifizierte Remotecodeausführung über den ZMQ-Broker. Dabei werden unkontrollierte Daten mithilfe von pickle.loads() deserialisiert, was Angreifern die Ausführung beliebigen Codes ermöglicht. Administratoren sollten umgehend ein Sicherheitsupdate einspielen, um ihre Systeme vor dieser kritischen Sicherheitslücke zu schützen.

Eine Sicherheitslücke in Pingoras Standardimplementierung des HTTP-Cacheschlüssels ermöglicht Cachepoisoning-Attacken. Betroffen sind Pingora-Nutzer, die auf die Standardeinstellung vertrauen. Angreifer könnten so Daten zwischen Mandanten durchsickern lassen oder Nutzer mit schädlichen Inhalten versorgen. Der Patch in Version 0.8.0 behebt das Problem, ältere Nutzer müssen eigene Cacheschlüssel implementieren.

Eine kritische Sicherheitslücke in der Content-Management-Software Winter CMS ermöglichte es Nutzern mit Backend-Zugriff, ihre Berechtigungen im System zu erhöhen. Angreifer mit Zugang zum Backend konnten diese Schwachstelle ausnutzen, um ihre Kontrolle über das System auszuweiten. Das Problem wurde in den Versionen 1.0.477, 1.1.12 und 1.2.12 behoben.

Eine kritische SQL-Injection-Schwachstelle in der 202CMS v10 beta-Version ermöglicht es unauthentifizierten Angreifern, Datenbankanfragen zu manipulieren und sensible Informationen auszulesen oder sogar den Datenbankinhalt zu ändern. Dieses Leck sollte schnell geschlossen werden, bevor skrupellose Zeitgenossen die Sicherheit der betroffenen Systeme kompromittieren.

Die Beta-Version des Content-Management-Systems 202CMS ist von einer schwerwiegenden SQL-Injection-Sicherheitslücke betroffen. Unauthentifizierte Angreifer können durch manipulierte Anfragen an den Parameter "log_user" vertrauliche Daten aus der Datenbank auslesen. Die Schwachstelle hat einen CVSS-Wert von 8.2 und sollte dringend behoben werden, sobald ein Patch verfügbar ist.

Netartmedia PHP Mall 4.1 weist mehrere schwerwiegende SQL-Injection-Schwachstellen auf, die es unauthentifizierten Angreifern ermöglichen, Datenbankabfragen zu manipulieren und sensible Informationen wie Nutzerdaten abzugreifen. Betreiber sollten umgehend einen Patch aufspielen, um das System vor Kompromittierung zu schützen.

Acronis Cyber Protect 17 ist von einer schwerwiegenden Sicherheitslücke mit der CVE-2026-28710 betroffen. Diese ermöglicht Angreifern den Zugriff auf vertrauliche Informationen und deren Manipulation durch unzureichende Authentifizierung. Betroffen sind Linux- und Windows-Versionen der Software vor Build 41186. Administratoren sollten dringend ein Sicherheitsupdate installieren, um ihre Systeme vor Kompromittierung zu schützen.

In der KI-Assistenz-Software ZeptoClaw gab es bis Version 0.7.6 eine Sicherheitslücke, die es Angreifern ermöglichte, Nachrichten unter fremder Identität zu versenden. Da die Authentifizierung standardmäßig deaktiviert war, konnten Schurken mit Zugriff auf den Webhook-Endpunkt beliebige Absender und Chat-IDs fälschen, was zu Identitätsdiebstahl und potenziellem Missbrauch führte. Zum Glück wurde die Schwachstelle mit Version 0.7.6 behoben.