Tech Blog

Eine kritische Heap-Pufferüberlauf-Schwachstelle in Microsoft Office ermöglicht es Angreifern, lokal Code auszuführen. Die Sicherheitslücke mit der CVE-ID CVE-2025-54910 weist eine Bewertung von 8.4 auf der CVSS-Skala auf. Administratoren sollten dringend die bereitgestellten Sicherheitsupdates installieren, um ihre Systeme vor Missbrauch zu schützen.

Mehrere Schwachstellen (CVE-2026-26216, CVE-2026-26217) in Docker ermöglichen es Angreifern, über die Docker-API-Schnittstelle auf beliebige Dateien des Dateisystems zuzugreifen. Betroffen sind Versionen von Crawl4AI vor 0.8.0. Dies kann zum Ausspähen sensibler Informationen wie Passwörter oder API-Schlüssel führen. Nutzer sollten dringend auf die korrigierte Version aktualisieren.

Eine kritische Sicherheitslücke in der SolaX Cloud von Alibaba Cloud ermöglicht Angreifern, sich als legitimer MQTT-Server auszugeben und so die Kontrolle über Benutzergeräte zu erlangen. Das Problem liegt in der unzureichenden Überprüfung des Serverzertifikats, was einen Man-in-the-Middle-Angriff zulässt. Dadurch drohen unberechtigte Befehle auf den Geräten und mögliche Datenlecks.

Eine schwerwiegende Sicherheitslücke im Smart Panel von NTN Information Processing Services ermöglicht es Angreifern, beliebige Dateien hochzuladen. Dies kann zu Ausführung von Schadcode, Datenlecks und unbefugtem Zugriff auf kritische Systemfunktionen führen. Admins sollten dringend nach Patches Ausschau halten, um ihre Systeme vor dieser Schwachstelle zu schützen.

Im WordPress-Plugin "Unlimited Elements for Elementor" wurde eine kritische Remote-Code-Execution-Schwachstelle (CVE-2025-14274) entdeckt. Angreifer können damit beliebigen Code auf dem Server ausführen. Der Fehler betrifft alle Versionen bis 2.0.1 und wurde mittlerweile behoben. Betreiber sollten das Plugin umgehend auf die aktuelle Version aktualisieren.

Eine schwerwiegende SQL-Injection-Lücke wurde im E-Commerce-Paket von Farktor Software entdeckt. Angreifer können dadurch SQL-Befehle ausführen und so unbefugten Zugriff auf sensible Datenbankinformationen erlangen. Betroffene Nutzer werden dringend aufgefordert, ihre Anwendungen umgehend zu sichern und mögliche Ausnutzung zu verhindern.

Das WordPress-Theme AdForest enthält eine Sicherheitslücke, die es Angreifern ermöglicht, den Authentifizierungsprozess zu umgehen. Die fehlerhafte Funktion 'sb_login_user_with_otp_fun' überprüft Benutzeridentitäten unzureichend, sodass unbefugte Nutzer, inklusive Administratoren, sich möglicherweise illegal einloggen können. Betroffene Websites sollten dringend Updates oder Patches installieren, um diese kritische Schwachstelle zu schließen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-14892, CVE-2026-1729, CVE-2026-1104).

Eine Schwachstelle in Ivanti EPM ermöglicht es unauthentifizierten Angreifern, sensible Informationen aus der Anwendung zu stehlen. Die Sicherheitslücke CVE-2026-1603 betrifft die Authentifizierung und könnte zu einem Datenverlust führen. Admins sollten umgehend einen bereitgestellten Patch installieren, um ihre Systeme vor diesem Angriff zu schützen.

Apple-Nutzer müssen aufpassen - es wurde eine kritische Zero-Day-Sicherheitslücke mit der CVE-ID CVE-2026-20700 entdeckt, die bereits aktiv ausgenutzt wird. Die Schwachstelle ermöglicht Angreifern potenziell die Übernahme des Systems. Apple hat zwar bereits einen Patch veröffentlicht, aber Admins sollten dringend alle betroffenen Geräte auf den neuesten Stand bringen, um Schäden zu vermeiden.

In den Dell Update Package (DUP) Versionen 23.12.00 bis 24.12.00 existiert eine Schwachstelle, die es einem lokal angemeldeten Angreifer mit geringen Rechten ermöglicht, seine Berechtigungen auszuweiten. Das Unternehmen hat bereits ein Sicherheitsupdate veröffentlicht, um das Problem zu beheben.