Tech Blog

In den Versionen 3.24.0 bis 6.19.0 des Node.js-basierten Content-Management-Systems Ghost gibt es eine kritische Schwachstelle, die es unautorisieren Angreifern ermöglicht, auf die Datenbank zuzugreifen. Der Patch in Version 6.19.1 behebt dieses Problem. Sicherheitsverantwortliche sollten ihre Ghost-Instanzen schnellstmöglich auf die aktuelle Version aktualisieren.

Acronis Cyber Protect 16 und 15 (Linux, Windows) sind von einer Sicherheitslücke betroffen, die sensible Daten offenlegt und Manipulation ermöglicht. Das Problem liegt in der fehlenden Autorisierung. Betroffene Nutzer sollten umgehend auf die neuesten, sicheren Versionen der Software aktualisieren.

Eine kritische Sicherheitslücke in Dell Unisphere for PowerMax, Version 10.2, erlaubt es Angreifern mit geringen Berechtigungen, unbefugten Zugriff zu erlangen. Administratoren sollten dringend ein Sicherheitsupdate installieren, um ihre Systeme vor Missbrauch zu schützen.

Das WordPress-Plugin "Toret Manager" ist bis einschließlich Version 1.2.7 mit einer schwerwiegenden Sicherheitslücke behaftet, die Angreifern mit Subscriber-Rechten oder höher die Möglichkeit zur Eskalation ihrer Berechtigungen bietet. Die Lücke ermöglicht das Ändern beliebiger Optionen, was zum Beispiel das Setzen des Standardrollen-Levels auf "Administrator" und die Aktivierung der Nutzerregistrierung ausnutzt werden kann, um die volle Kontrolle über die betroffene WordPress-Instanz zu erlangen.

Eine kritische Schwachstelle in der Valenti-Bibliothek (Versionen <= 5.6.3.5) erlaubt Angreifern die Injektion von Objekten durch unsichere Deserialisierung. Dies kann zu Schadcode-Ausführung führen. Ein Patch ist verfügbar, Anwender sollten die Bibliothek umgehend aktualisieren.

Eine kritische Schwachstelle mit der CVE-ID CVE-2025-10970 ermöglicht Blind-SQL-Injection-Angriffe auf die Talentics-Software von Kolay Software Inc. Der Hersteller hat trotz Kontaktaufnahme nicht reagiert. Admins sollten dringend nach einem Patch suchen oder Gegenmaßnahmen ergreifen, um ihre Systeme vor Angriffen zu schützen.

Eine kritische Autorisierungsschwachstelle in Pterodactyl Wings, dem Server-Kontrollpanel, ermöglicht es Angreifern, vertrauliche Informationen über beliebige Server abzurufen und sogar deren Installationsstatus zu manipulieren. Dies ist möglich, da die Überprüfung fehlt, ob der anfragende Node-Daemon auch tatsächlich für den jeweiligen Server zuständig ist. Benutzer sollten dringend auf Version 1.12.1 aktualisieren, um die Lücke zu schließen.

Die Node.js-Bibliothek systeminformation wies bis zur Version 5.31.0 eine Sicherheitslücke auf, die Angreifern Befehlsausführung ermöglichte. Die Schwachstelle betraf die `versions()`-Funktion, bei der die Ausgabe des `locate`-Befehls nicht ordnungsgemäß bereinigt wurde. Nutzer sollten dringend auf Version 5.31.0 oder höher aktualisieren, um diese kritische Sicherheitslücke zu schließen.

Eine Sicherheitslücke mit der Bewertung 8.1 High wurde in Dell PowerProtect Data Manager vor Version 19.22 entdeckt. Angreifer mit geringen Rechten können diese Schwachstelle ausnutzen, um ihre Berechtigungen zu erhöhen. Ein Patch ist erforderlich, um das System vor Kompromittierung zu schützen.

Eine kritische SQL-Injection-Schwachstelle in der Version 25.12.0 und älter des PHP/MySQL-basierten Netzwerk-Monitoring-Tools LibreNMS ermöglicht Angreifern den Zugriff auf und die Manipulation von Datenbankinhalten. Die Lücke betrifft die ajax_table.php-Schnittstelle und entsteht durch mangelhafte Eingabevalidierung von IPv6-Adressen. Zum Glück wurde das Problem in Version 26.2.0 behoben, also Zeit für ein Update, bevor hier wieder irgendwelche Scriptkiddies Schindluder treiben.