Tech Blog

Eine Schwachstelle im quelloffenen Dateimanager FileBrowser Quantum ermöglicht es Angreifern, bösartigen Code in öffentlich geteilten Dateien einzuschleusen. Das Problem betrifft Versionen vor 1.3.1-beta und 1.2.2-stable und kann ausgenutzt werden, wenn Nutzer die Share-URLs besuchen. Der Hersteller hat die Lücke in den genannten Updates behoben.

Eine kritische Schwachstelle mit der CVE-ID CVE-2025-40943 ermöglicht Angreifern, durch präparierte Trace-Dateien Schadcode einzuschleusen. Betroffen sind Geräte, die den Inhalt von Trace-Dateien nicht ordnungsgemäß bereinigen. Nutzer sollten daher äußerst vorsichtig sein, wenn sie Trace-Dateien importieren, da diese missbraucht werden könnten, um Kontrolle über das System zu erlangen.

Eine kritische Sicherheitslücke in MagicINFO 9 Server erlaubt autorisierten Nutzern das Hochladen von HTML-Dateien ohne Authentifizierung. Dies führt zu gespeicherter Cross-Site-Scripting-Schwachstelle (XSS), die potentiell zur Übernahme von Benutzerkonten ausgenutzt werden kann. Der Patch sollte schnellstmöglich eingespielt werden.

Eine kritische Sicherheitslücke in OneUptime Synthetic Monitors ermöglicht es einem Angreifer mit niedrigen Berechtigungen, beliebigen Code auf dem Probe-Server auszuführen. Der Grund dafür ist, dass unsicherer Synthetic Monitor-Code innerhalb der Node.js-VM ausgeführt wird, während gleichzeitig Playwright-Objekte für den Browser und die Seite zugänglich sind. Dadurch kann der Angreifer die Playwright-API missbrauchen, um einen eigenen Prozess zu starten. Diese Server-seitige Schwachstelle wurde in Version 10.0.21 behoben.

Eine kritische Sicherheitslücke im WordPress-Plugin Tutor LMS Pro ermöglicht es Angreifern, sich ohne Authentifizierung in beliebige Konten, einschließlich Administratoren, einzuloggen. Das Plugin ist auf über 30.000 Websites im Einsatz. Der Hersteller hat das Problem mit Version 3.9.6 behoben.

Eine Schwachstelle mit hoher Gefährdungsstufe (CVSS 9.4) in Zephyr RTOS, einem weit verbreiteten IoT-Betriebssystem, ermöglicht Angreifern die Ausführung von Schadcode. Betroffen sind schätzungsweise Millionen Geräte, die dringend gepatcht werden müssen, um eine Kompromittierung zu verhindern.

Eine kritische Sicherheitslücke mit einem CVSS-Score von 9,3 in der SiYuan-Software ermöglicht Hackern, über eine SVG-Injection-Schwachstelle auf private Notizen zuzugreifen. Das Problem betrifft die Vertraulichkeit und muss dringend behoben werden.

Eine kritische Sicherheitslücke im Tenda FH1202 Router ermöglicht Angreifern die Ausführung von beliebigem Code. Die Schwachstelle betrifft die Funktion "formWrlsafeset" und kann durch manipulierte Argumente ausgenutzt werden, um einen Pufferüberlauf auszulösen. Der Exploit ist öffentlich bekannt und kann daher jederzeit missbraucht werden. Betroffene Nutzer sollten dringend ein Firmware-Update installieren, sobald es vom Hersteller bereitgestellt wird.

Eine Schwachstelle mit hoher Schweregrad (8.8) wurde in der EHG2408-Schalterfirmware von Atop Technologies entdeckt. Unbefugte Angreifer können damit die Programmausführung übernehmen und beliebigen Code ausführen, ohne sich authentifizieren zu müssen. Betroffene Administratoren sollten dringend das Firmware-Update installieren, sobald es verfügbar ist.

Forscher haben eine kritische Sicherheitslücke mit Pufferüberlauf-Verwundbarkeit in der Netzwerksoftware COMMGR2 von Delta Electronics entdeckt. Angreifer könnten die Schwachstelle mit der CVE-ID CVE-2026-3630 ausnutzen, um die Kontrolle über betroffene Systeme zu erlangen. Administratoren sollten dringend ein Sicherheitsupdate installieren, sobald es verfügbar ist.