Tech Blog

Die Schwachstelle CVE-2026-23767 betrifft die Druckersteuersprache ESC/POS von Seiko Epson. Sie bietet keinerlei Mechanismen für Benutzerauthentifizierung oder Autorisierung von Befehlen, keine Kontrolle über Netzwerkkommunikation und überträgt Befehle unverschlüsselt. Das ermöglicht Angreifern den unkontrollierten Zugriff auf die Drucker.

Eine Sicherheitslücke in der Aranda Service Desk Web Edition (ASDK API 8.6) ermöglicht es authentifizierten Angreifern, durch mangelhafte Überprüfung hochgeladener Dateien, Remotecode-Ausführung zu erzielen. Nutzer können eine präparierte web.config-Datei hochladen, die dann vom ASP.NET-Runtime ausgeführt wird. Dies erlaubt die Kompilierung und Ausführung von Schadcode, etwa in Form einer .aspx-Webshell. Die Lücke betrifft sowohl On-Premise- als auch SaaS-Bereitstellungen.

Eine Schwachstelle in der Passwort-Zurücksetzung des Tata Consultancy Services Cognix Recon Client v3.0 ermöglicht authentifizierten Nutzern, die Passwörter beliebiger Konten zurückzusetzen. Die Sicherheitslücke mit der CVE-ID CVE-2026-26417 hat eine Bewertung von 8.1 (Hoch) und sollte zeitnah behoben werden.

Eine Sicherheitslücke in der Web-Oberfläche des OpenCode Messaging / USSD Gateway Produkts ermöglicht es Angreifern mit geringen Rechten, auf beliebige SMS-Nachrichten zuzugreifen. Das Problem betrifft die Version 6.32.2 und liegt in einer fehlerhaften Zugriffskontrolle.

Eine kritische Schwachstelle mit der CVE-ID CVE-2025-70233 ermöglicht Angreifern einen Pufferüberlauf im D-Link DIR-513 Router v1.10. Durch Manipulation des "curTime"-Parameters in der Weboberfläche können Angreifer die Kontrolle über den Router erlangen. Ein Patch ist dringend erforderlich, um die Sicherheitslücke zu schließen und Systeme vor Kompromittierung zu schützen.

Die OOP CMS BLOG 1.0-Version enthält SQL-Injection-Schwachstellen, die es unauthentifizierten Angreifern ermöglichen, beliebige SQL-Abfragen auszuführen. Dadurch können Angreifer Daten wie Tabellennamen, Datenbankschemas und Zugangsdaten auslesen. Betroffen sind die Parameter "search" in search.php, "pageid" in page.php und "id" in posts.php.

Die Schwachstelle CVE-2018-25196 in der Server-Management-Software ServerZilla 1.0 erlaubt es Angreifern ohne Authentifizierung, über manipulierte E-Mail-Adressen SQL-Injektionen durchzuführen. Dadurch können sensible Datenbankinformationen abgegriffen werden. Bis ein Patch vorliegt, empfiehlt sich die Deaktivierung der betroffenen reset.php-Funktion.

Das GPS Tracking System 2.12 ist von einer SQL-Injektions-Schwachstelle betroffen, die es unauthentifizierten Angreifern ermöglicht, durch Manipulation des Anmeldefelds Zugriff ohne gültige Zugangsdaten zu erlangen. Die Schwachstelle ist als CVE-2018-25192 mit einer Bewertung von 8.2 "High" eingestuft. Betroffene Systeme sollten umgehend aktualisiert werden, um dieses Sicherheitsrisiko zu beheben.

Eine kritische SQL-Injection-Schwachstelle in der Version 2.6.2 des Data Center Audit-Tools ermöglicht es Angreifern, ohne Authentifizierung beliebige SQL-Abfragen auszuführen und so sensible Daten aus der Datenbank zu extrahieren, darunter Benutzernamen, Datenbankname und Versionsinformationen.

Eine kritische SQL-Injektionslücke in der Version 2.3 des Webiness Inventory-Systems erlaubt es unauthentifizierten Angreifern, beliebige SQL-Abfragen auszuführen und so sensible Daten wie Benutzernamen, Datenbankdetails und Versionsinformationen abzugreifen. Admins sollten dringend ein Update auf eine neuere, gepatche Version vornehmen, um das System vor Kompromittierung zu schützen.