Tech Blog

Eine Sicherheitslücke in der PHP-Anwendung "Crown Art" erlaubt es Angreifern, lokal gespeicherte Dateien einzubinden. Das Problem betrifft Versionen bis einschließlich 1.2.11 und kann zu unerwünschtem Datenzugriff führen. Ein Patch ist erforderlich, um die Schwachstelle zu schließen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-22434, CVE-2026-22436).

In der Firmware des UTT HiPER 810G Router wurde eine Schwachstelle im strcpy-Aufruf des NTP-Moduls entdeckt. Durch Manipulation kann ein Angreifer einen Pufferüberlauf auslösen und potenziell die Kontrolle über das Gerät übernehmen. Der Exploit ist öffentlich verfügbar, sodass Admins zeitnah ein Update einspielen sollten, um ihre Systeme vor Angriffen zu schützen.

In D-Link DIR-860LB1 und DIR-868LB1 Routern wurde eine Sicherheitslücke entdeckt, die eine Ausführung von Schadcode ermöglicht. Die Schwachstelle betrifft den DHCP-Daemon und kann durch Manipulation des Hostnamen-Parameters ausgenutzt werden. Ein öffentlicher Exploit ist bereits verfügbar, sodass Angreifer die Lücke ferngesteuert ausnutzen können. Betroffene Nutzer sollten umgehend Sicherheitsupdates installieren, um ihre Systeme vor Kompromittierung zu schützen.

Eine kritische Schwachstelle in der Firmware von UTT-Routern ermöglicht Angreifern, durch Manipulation der "formRemoteControl"-Funktion einen Puffer-Überlauf auszulösen. Der Exploit ist bereits öffentlich und kann für Fernzugriffe missbraucht werden. Betroffen sind Modelle bis zur Version 1.7.7-171114 - ein Patch sollte so schnell wie möglich installiert werden.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-3730 wurde in der Hotel-Reservierungs-Software "itsourcecode Free Hotel Reservation System 1.0" entdeckt. Die Schwachstelle ermöglicht Angreifern durch manipulierte Argumente SQL-Injection-Attacken. Die Lücke ist als "hoch" eingestuft und wurde bereits öffentlich bekannt gemacht, sodass Exploits verfügbar sind.

Eine bekannte Sicherheitslücke in Telnet ermöglicht es Angreifern, Umgebungsvariablen wie LD_LIBRARY_PATH zu manipulieren und so die normalen Systembibliothe-ken zu umgehen. Dies kann zu einer Eskalation der Rechte bis hin zum Root-Zugriff führen. Die Schwachstelle ist seit über 20 Jahren bekannt, aber leider immer noch nicht in allen Systemen behoben.

Eine Sicherheitslücke im "Simple Flight Ticket Booking System 1.0" ermöglicht es Angreifern, durch Manipulation von Argumenten SQL-Injection-Attacken durchzuführen. Die Schwachstelle ist öffentlich bekannt und kann ferngestellt ausgenutzt werden. Betroffen ist eine unbekannte Funktionalität der Datei "SearchResultRoundtrip.php". Admins sollten das System umgehend aktualisieren, um Schäden durch Ausnutzung der Lücke zu verhindern.

Eine Sicherheitslücke in der Vito-Webanwendung zur Serververwaltung und PHP-Anwendungsbereitstellung ermöglichte es authentifizierten Angreifern mit Schreibzugriff in einem Projekt, Websites auf Servern anderer Projekte zu manipulieren. Die Schwachstelle betraf Versionen vor 3.20.3 und wurde im neuesten Release behoben.

Eine Schwachstelle im WordPress-Plugin "Paid Videochat Turnkey Site - HTML5 PPV Live Webcams" ermöglicht Angreifern mit Autor-Rechten oder höher, sich selbst Administrator-Rechte zu verschaffen. Dies betrifft alle Versionen bis einschließlich 7.3.20. Der Grund ist, dass die Funktion "videowhisper_register_form()" keine Einschränkungen für die Nutzerrollen bei der Registrierung vornimmt. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-8899, CVE-2026-29000).

In der KI-Plattform WeKnora existierte von Version 0.2.5 bis 0.2.10 eine kritische Sicherheitslücke, die es Angreifern ohne Authentifizierung ermöglichte, beliebigen Code auszuführen. Trotz Whitelist und Blacklist konnte die Validierung umgangen werden, was zur vollständigen Kompromittierung des Systems führte. Das Problem wurde in Version 0.2.10 behoben.