Tech Blog

Eine Sicherheitslücke in der github-kanban-mcp-server Software ermöglicht es Angreifern, ohne Authentifizierung beliebigen Schadcode auszuführen. Das Problem liegt in der unzureichenden Validierung des "create_issue"-Parameters, der für Remote-Code-Ausführung missbraucht werden kann. Betreiber sollten dringend ein Update installieren, sobald ein Patch verfügbar ist.

Eine kritische Sicherheitslücke (CVE-2026-22584) mit CVSS-Score 9.8 wurde in der Salesforce-Anwendung Uni2TS entdeckt. Die Schwachstelle ermöglicht Angreifern, Schadcode in nicht-ausführbaren Dateien einzuschleusen und auszuführen. Betroffen sind Windows-, Linux- und macOS-Systeme mit Uni2TS-Versionen bis einschließlich 1.2.0. Administratoren sollten umgehend ein Software-Update einspielen, um ihre Systeme vor Kompromittierung zu schützen.

Eine Sicherheitslücke in Vault ermöglicht es einem authentifizierten Nutzer, Geheimnisse zu löschen, für die er eigentlich keine Zugriffsrechte hat. Zwar kann der Angreifer keine Geheimnisse über Namensräume hinweg lesen oder löschen, aber es droht ein Denial-of-Service durch unberechtigtes Löschen. Das Problem wurde in Vault Community Edition 2.0.0 und Vault Enterprise 2.0.0, 1.21.5, 1.20.10 und 1.19.16 behoben.

Eine kritische Sicherheitslücke (CVE-2026-25896) im XML-Parser "fast-xml-parser" erlaubt Angreifern, eingebaute XML-Entitäten zu überschreiben und somit plattformübergreifende Skriptausführung (XSS) zu ermöglichen. Das Problem betrifft Versionen von 4.1.3 bis vor 5.3.5 und wurde in der aktuellen Version 5.3.5 behoben. Administratoren sollten umgehend auf die neueste Version aktualisieren, um ihre Systeme vor Angriffen zu schützen.

Eine kritische Sicherheitslücke in der Frigate-Netzwerkvideo-Rekorder-Software ermöglicht Angreifern die Ausführung von Systemkommandos. Das Problem betrifft die Integration mit go2rtc und wurde in Version 0.16.4 behoben. Administratoren, die ihre Frigate-Instanz öffentlich exponiert haben, sind besonders gefährdet. Eine Aktualisierung auf die patched Version 0.16.4 ist dringend empfohlen.

In der Verwaltungsoberfläche des UTT HiPER 810G Routers bis Version 1.7.7-171114 wurde eine kritische Pufferüberlauf-Schwachstelle im strcpy-Aufruf entdeckt. Angreifer können die Funktion formFireWall missbrauchen, um die Kontrolle über das Gerät zu erlangen. Obwohl der Hersteller rechtzeitig informiert wurde, gab es bislang keine Reaktion. Administratoren sollten dringend ein Sicherheitsupdate einspielen, sobald es verfügbar ist.

In der Drag-und-Drop-Oberfläche Flowise zur Erstellung von Large Language Model-Workflows gab es bis Version 3.0.13 eine Sicherheitslücke, die Angreifer ausnutzen konnten, um Konten zu übernehmen und Enterprise-Features zu umgehen. Der Patch in Version 3.0.13 hat dieses Problem behoben.

In Horner Automation's Cscape-Software existiert eine kritische Sicherheitslücke, die es Angreifern mit Netzwerkzugriff zum SPS-System ermöglicht, schwache Passwörter per Brute-Force-Attacken zu knacken. Ursachen sind unzureichende Komplexitätsanforderungen und fehlende Eingabebegrenzungen. Dies kann zu unbefugtem Zugriff auf kritische Systeme und Dienste führen und die Betriebssicherheit massiv gefährden.

Eine kritische Authentifizierungsumgehung in Sparx Pro Cloud Server ermöglicht es unauthentifizierten Angreifern, beliebige SQL-Befehle gegen die Datenbank auszuführen. Dies kann zu unberechtigtem Zugriff auf sensible Daten, Datenmanipulation oder sogar zur vollständigen Kompromittierung der Datenbank führen. Anwender werden dringend aufgefordert, ihre Sicherheitsmaßnahmen zu überprüfen und die erforderlichen Updates zeitnah einzuspielen.

Das quelloffene SiYuan Knowledge Management System weist in Versionen 3.6.3 und älter eine kritische Sicherheitslücke auf, die Angreifern das Einschleusen von bösartigem JavaScript ermöglicht. Das Problem liegt in der fehlerhaften Darstellung von Mermaid-Diagrammen, bei denen Skript-URLs in den Ausgabetext gelangen können. In Electron-Umgebungen kann das sogar zu willkürlicher Codeausführung führen. Admins sollten dringend auf Version 3.6.4 aktualisieren, in der der Fehler behoben wurde.