Tech Blog

Ein Angreifer mit niedrigen Rechten kann über einen präparierten HTTP-POST-Aufruf einen Pufferüberlauf auf dem Zielsystem auslösen und so die volle Kontrolle über das Gerät erlangen. Die Schwachstelle mit der CVE-ID CVE-2025-41766 weist eine hohe Bewertung von 8.8 auf und sollte umgehend behoben werden.

Eine kritische Schwachstelle mit der CVE-ID CVE-2025-41764 ermöglicht es Angreifern, sich ohne Berechtigung Zugang zum wwwupdate.cgi-Skript zu verschaffen und willkürliche Updates aufzuspielen. Administratoren müssen dringend einen Patch einspielen, um ihre Systeme vor unbefugtem Zugriff zu schützen.

Eine Sicherheitslücke mit hoher Schwere (CVE-2025-41757, CVSS 8.8) ermöglicht es einem Angreifer mit geringen Rechten, die Backup-Wiederherstellungsfunktion von UBR auszunutzen. Da UBR mit erhöhten Rechten ausgeführt wird und den Inhalt des Backup-Archivs nicht validiert, kann der Angreifer beliebige Dateien auf dem System erstellen oder überschreiben.

Ein unautorisierter Angreifer kann die undokumentierte und ungenutzte API-Methode "ubr-editfile" in wwwubr.cgi ausnutzen, um willkürliche Dateien auf dem System zu schreiben. Die Schwachstelle hat eine hohe Bewertung von 8.1 und sollte umgehend behoben werden.

Eine Schwachstelle in Airflow (CVE-2025-69219) ermöglicht es Nutzern mit DB-Zugriff, Schadcode auszuführen. Dies kann zu Kompromittierung der Rechte von Airflow-Dag-Autoren führen. Obwohl direkter DB-Zugriff unüblich ist, sollte man zur Version 6.0.0 des Providers upgraden, um dieses Risiko zu vermeiden.

In der WeDesignTech Ultimate Booking Addon-Erweiterung wurde eine Schwachstelle entdeckt, die es Angreifern ermöglicht, die Authentifizierung zu umgehen und unberechtigten Zugriff zu erlangen. Das Problem betrifft Versionen von n/a bis einschließlich 1.0.1. Admins sollten das Plugin umgehend auf die neueste Version aktualisieren, um ihre Systeme vor möglichen Angriffen zu schützen.

Eine Deserialisierungslücke in der Mounthood-Komponente des WordPress-Plugins axiomthemes Mounthood ermöglicht Objekteinschleusung. Die Schwachstelle betrifft Versionen bis einschließlich 1.3.2. Sysadmins sollten das Plugin umgehend auf die neueste Version aktualisieren, um das System vor unbefugtem Zugriff zu schützen.

In der Blubrry PowerPress Podcasting-Erweiterung für WordPress wurde eine Deserialisierungs-Schwachstelle entdeckt, die Object Injection ermöglicht. Das betrifft Versionen von n/a bis einschließlich 11.15.10. Sysadmins sollten dringend auf ein aktuelles Update wechseln, um ihre Systeme vor möglichen Angriffen zu schützen.

Die Windows Logon Agent-Software von Changing weist eine kritische Sicherheitslücke auf, die es Angreifern ermöglicht, beliebigen Schadcode auszuführen, ohne sich zu authentifizieren. Betroffen ist die CVE-2026-2999-Schwachstelle mit einem Schweregrad von 9.8. Administratoren sollten schnellstmöglich einen Patch des Herstellers installieren, um die Systeme zu schützen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-2999, CVE-2026-3000).

Eine Sicherheitslücke im Woopy-Plugin von AncoraThemes ermöglicht es, durch unsachgemäße Kontrolle von Dateinamen, lokal Dateien einzubinden. Das betrifft Versionen bis einschließlich 1.2. Admins sollten schnell auf eine aktualisierte Version wechseln, um ihre Systeme vor möglichen Angriffen zu schützen.