Tech Blog

Eine kritische Sicherheitslücke mit der Bewertung 10.0 erlaubt Angreifern in Firefox und Thunderbird vor Version 148 sowie in älteren ESR-Versionen, aus der Sandbox auszubrechen. Betroffen sind damit zentrale Komponenten der Browser-Rendering-Engine. Sysadmins sollten dringend auf die neuesten Versionen updaten, um Systeme vor möglichen Kompromittierungen zu schützen.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-27847 ermöglicht es Angreifern, über die fehlerhafte Neutralisierung von Sonderzeichen SQL-Injektionen in den TLS-SRP-Handshake einzuschleusen. Dadurch können bekannte Zugangsdaten in die Datenbank eingeschleust werden, um den geschützten Dienst zu kompromittieren. Betroffen sind die Gerätemodelle MR9600: 1.0.4.205530 und MX4200: 1.0.13.210200.

Eine kritische Sicherheitslücke (CVE-2026-27728) in der Monitoring-Lösung OneUptime ermöglichte bis zur Version 10.0.7 jedes authentifizierten Nutzers, beliebige Betriebssystembefehle auf dem Probe-Server auszuführen. Die Schwachstelle steckte in der Funktion "NetworkPathMonitor.performTraceroute()", die unsanitierte Eingaben in der Zieldestination akzeptierte. Ein Patch in Version 10.0.7 schließt diese Sicherheitslücke.

Das Drupal-Modul "Tagify" weist eine moderate Sicherheitslücke auf, die es Angreifern ermöglicht, beliebigen JavaScript-Code auf der Zielseite auszuführen. Dies kann zu Identitätsdiebstahl, Datenmanipulation oder anderen böswilligen Aktivitäten führen. Nutzer sollten umgehend auf die neueste Version des Moduls aktualisieren, um sich vor dieser Schwachstelle zu schützen.

Die Node.js-Bibliothek "basic-ftp" hat eine kritische Sicherheitslücke, die es böswilligen FTP-Servern ermöglicht, durch Pfad-Traversal-Sequenzen Dateien außerhalb des vorgesehenen Download-Verzeichnisses zu schreiben. Das Problem betrifft alle Versionen vor 5.2.0 und wurde in dieser Version behoben.

Sicherheitsforscher haben mehrere Sicherheitslücken in Anthropic's KI-Coding-Assistent "Claude Code" entdeckt. Die Schwachstellen ermöglichen das Ausführen von Schadcode und das Ausspähen von API-Zugangsdaten. Die Lücken betreffen verschiedene Konfigurationsmechanismen wie Hooks, MCP-Server und Umgebungsvariablen. Ein Patch ist bislang nicht verfügbar, Nutzer sollten die Verwendung des Tools daher kritisch überdenken.

Eine kritische Schwachstelle in der Antikor Next Generation Firewall von ePati Cyber Security Technologies erlaubt das Umgehen der Authentifizierung. Angreifer können so unbefugten Zugriff auf wichtige Netzwerkfunktionen erlangen und schwerwiegende Sicherheitsvorfälle verursachen. Das Problem betrifft Versionen vor v.2.0.1301 und erfordert dringende Aktualisierung.

Eine Sicherheitslücke in der Peer-Authentifizierung des Cisco Catalyst SD-WAN Controllers ermöglicht es einem unbefugten Angreifer, sich ohne Authentifizierung Administratorrechte zu verschaffen. Der Angreifer könnte dann die Netzwerkkonfiguration manipulieren. Cisco hat Updates veröffentlicht, um diese kritische Schwachstelle zu schließen. Es gibt keine Workarounds.

Eine Sicherheitslücke in SUSE's Kubernetes-Management ermöglicht es böswilligen Nutzern, willkürlich PersistentVolumes auf den Host-Knoten zu erstellen. Dies kann zum Überschreiben sensibler Dateien oder unberechtigtem Zugriff auf eingeschränkte Verzeichnisse führen und stellt ein erhebliches Sicherheitsrisiko für betroffene Systeme dar. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-62878, CVE-2026-2790).

Eine kritische Sicherheitslücke (CVSS 9.2) in ASUSTOR-Geräten ermöglicht Angreifern den Zugriff auf FTP-Backups. Die Schwachstelle erlaubt das Traversieren von Verzeichnissen und kann zu einem Kompromittieren der Backups führen. Betroffene Nutzer sollten umgehend ein Firmware-Update installieren, um die Lücke zu schließen.