Tech Blog

Die Version 1.36.34 des Videoüberwachungssystems ZoneMinder weist eine kritische Sicherheitslücke auf. Durch mangelhafte Eingabevalidierung kann ein Angreifer beliebigen Code auf dem Server ausführen. Das Entwicklerteam bestreitet zwar die Existenz dieser Schwachstelle, aber Sicherheitsexperten raten dennoch dringend zu einem Update, um Systeme vor Kompromittierung zu schützen.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-0122 ermöglicht Angreifern die Ausführung von beliebigem Schadcode ohne zusätzliche Berechtigungen. Die Schwachstelle betrifft mehrere Softwarekomponenten und kann zu Remotecodeausführung führen, ohne dass der Nutzer interagieren muss. Bis zur Veröffentlichung eines Patches sollten betroffene Systeme isoliert und der Zugriff eingeschränkt werden. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-0122, CVE-2025-41765).

In der Java-Bibliothek "DeviceId.java" existiert eine Schwachstelle, die zu einer lokalen Eskalation von Berechtigungen führen kann. Die Lücke entsteht durch eine fehlende Überprüfung der Grenzen beim Zugriff auf die "DeviceId"-Komponente. Für die Ausnutzung ist keine zusätzliche Berechtigung erforderlich. Entwickler sollten dringend einen Patch installieren, sobald dieser verfügbar ist.

Die Versionene von netbox-docker vor 2.5.0 haben einen Superuser-Account mit Standardanmeldedaten. Obwohl die meisten Nutzer das Passwort ändern, verwenden noch etwa 10% den Standardwert für das API-Token. Dies kann ausgenutzt werden, um die Kontrolle über die Anwendung zu erlangen. Der Hersteller war sich des Problems bewusst und hat keine Einwände gegen die Vergabe der CVE-ID erhoben.

Eine schwerwiegende SQL-Injection-Schwachstelle (CVE-2026-31844) in der Koha-Bibliothekssoftware ermöglicht es Mitarbeitern mit geringen Berechtigungen, über die Suggestion.pl-Schnittstelle beliebige SQL-Abfragen auszuführen und so auf sensible Datenbankinhalte zuzugreifen. Dies kann zur vollständigen Kompromittierung der Datenbank und Offenlegung oder Manipulation gespeicherter Informationen führen. Ein Patch ist dringend erforderlich, um dieses Sicherheitsrisiko zu beheben.

Die Netzwerkverwaltungssoftware IFTOP von WellChoose weist eine kritische Schwachstelle auf, die es unautorisierte Angreifer ermöglicht, beliebigen Code auf dem Server auszuführen (CVE-2026-3826). Betroffen sind alle Versionen des Tools. Administratoren sollten umgehend einen Patch einspielen, um die Systeme vor Kompromittierung zu schützen.

Eine Pufferüberlauf-Schwachstelle in Fortinet-Produkten wie FortiManager erlaubt Angreifern möglicherweise die Ausführung von Schadcode, ohne sich vorher authentifizieren zu müssen. Der Erfolg des Angriffs hängt davon ab, ob die Schutzmaßnahmen gegen Pufferüberlauf umgangen werden können. Betroffene Anwender sollten dringend Patches von Fortinet installieren, um sich vor dieser kritischen Sicherheitslücke zu schützen.

In PX4 Autopilot-Versionen 1.12.x bis 1.15.x gibt es eine Logiklücke im Modusumschaltmechanismus. Beim Umschalten von Automatik- auf Handsteuerung, während die Drohne im "ARMED"-Zustand ist, fehlt eine Sicherheitsabfrage des Schubhebels. Dies kann zu unkontrolliertem Aufstieg und Sachschäden führen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-26741, CVE-2026-26742).

In Wekan-Versionen 8.31.0 bis 8.33 werden sensible Webhook-URLs und Authentifizierungs-Tokens unbeabsichtigt für alle Boardmitglieder und sogar unauthentifizierte Clients veröffentlicht. Angreifer können so unberechtigt auf die Webhooks zugreifen und externe Dienste missbrauchen. Das Problem wurde in Version 8.34 behoben.

Eine Sicherheitslücke mit der CVE-ID CVE-2026-3677 wurde in der Firmware des Tenda FH451 Routers entdeckt. Der Fehler ermöglicht es Angreifern aus der Ferne, einen Pufferüberlauf auszulösen und potenziell die Kontrolle über das Gerät zu erlangen. Ein öffentlicher Exploit ist bereits verfügbar, sodass das Risiko als hoch einzustufen ist. Betroffene Nutzer sollten umgehend ein Firmware-Update einspielen, sobald es vom Hersteller bereitgestellt wird. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-3677, CVE-2026-3678, CVE-2026-3679).