Tech Blog

In der Photolia-Plugin-Version 1.0.3 und älter wurde eine kritische PHP-Sicherheitslücke entdeckt. Angreifer können damit lokal Dateien auf dem Server einbinden und ausführen. Betroffen sind alle Photolia-Nutzer, die das Plugin nicht zeitnah auf die neueste Version aktualisieren. Ein Patch ist verfügbar, der das Problem behebt. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-22362, CVE-2026-22365).

Eine kritische Schwachstelle im Parkivia-Plugin von AncoraThemes ermöglicht es Angreifern, über eine PHP-Dateieinbindung auf dem Server beliebigen Code auszuführen. Betroffen sind alle Versionen des Plugins von n/a bis einschließlich 1.1.9. Nutzer sollten das Plugin umgehend auf die neueste Version aktualisieren, um sich vor dieser Sicherheitslücke zu schützen.

Die Steuerungseinheit (PLC) des betroffenen Geräts kann ohne angemessene Sicherheitsmaßnahmen oder Authentifizierung aus der Ferne beeinflusst werden. Dadurch besteht die Gefahr einer unkontrollierten Manipulation mit schwerwiegenden technischen Auswirkungen. Solange kein Patch verfügbar ist, empfiehlt sich eine restriktive Zugriffskontrolle und Netzwerktrennung, um das Risiko einer Kompromittierung zu minimieren.

Das Laravel-Paket "goodoneuz/pay-uz" bis Version 2.2.24 weist eine kritische Sicherheitslücke auf, die es unauthentifizierten Angreifern ermöglicht, beliebigen PHP-Code auf dem Server auszuführen. Die Schwachstelle liegt in einem Endpunkt, der Dateien ohne Authentifizierung überschreiben kann. Dadurch können Angreifer ihre Schadcode-Dateien einschleusen, die dann im Kontext der Anwendung ausgeführt werden. Der vom Hersteller empfohlene Sicherheitstoken bietet keinen ausreichenden Schutz. Anwender sollten das Paket umgehend auf eine neuere, sicherere Version aktualisieren.

Fastify-Plugins der Version 9.3.1 und älter sind von einer schwerwiegenden Sicherheitslücke betroffen, die verhindert, dass vererbte Middleware in Kindplugins registriert wird. Dadurch können unauthentifizierte Anfragen an Kindplugin-Routen die notwendigen Authentifizierungs- und Autorisierungsprüfungen umgehen. Ein Upgrade auf Version 9.3.2 ist zwingend erforderlich, da es derzeit keine Umgehungslösungen gibt.

In der WordPress-Plugin-Version Blocksy Companion Pro < 2.1.29 wurde eine kritische SQL-Injektions-Schwachstelle entdeckt. Angreifer können damit ohne Authentifizierung beliebige SQL-Abfragen ausführen und so sensible Daten auslesen oder die Website kompromittieren. Ein Patch ist verfügbar.

Forscher haben eine kritische Sicherheitslücke mit der Kennung CVE-2026-38526 im Krayin CRM entdeckt. Mit einem CVSS-Score von 10 ermöglicht diese Lücke Remote-Code-Ausführung und damit die vollständige Übernahme betroffener Systeme. Administratoren sollten dringend das bereitgestellte Sicherheitsupdate einspielen, um ihre Systeme vor dieser Bedrohung zu schützen.

Anthropics "Mythos"-Modell, das unter dem kontrollierten "Glasswing"-Zugriffsprogramm entwickelt wird, hat bisher nur eine einzige bestätigte Schwachstelle (CVE-2026-4747) identifiziert. Diese betrifft eine Remotecode-Ausführungslücke in FreeBSD. Obwohl Anthropic weitere Schwachstellen gefunden haben soll, die noch nicht öffentlich gemacht wurden, zeigt die begrenzte Zahl der tatsächlich zugeschriebenen Schwachstellen, dass die Leistungsfähigkeit des Modells bisher überschätzt wird.

Vor Version 0.9.6 des Creolabs Gravity-Frameworks gibt es eine kritische Heap-Überlauf-Schwachstelle, die Angreifer ausnutzen können, um durch manipulierte Skripte den Arbeitsspeicher zu beschädigen und potenziell beliebigen Code auszuführen. Benutzer sollten dringend auf die aktuelle Version 0.9.6 oder höher aktualisieren, um dieses Risiko zu bannen.

Eine kritische Sicherheitslücke im WinMatrix Agent von Simopro Technology ermöglicht es lokalen Angreifern, die Authentifizierung zu umgehen und beliebigen Code mit SYSTEM-Rechten auszuführen. Da der Agent in Netzwerken weit verbreitet ist, kann diese Schwachstelle zu unkontrolliertem Zugriff und Kontrolle über die gesamte Infrastruktur führen. Ein Patch ist dringend erforderlich, um das System vor Kompromittierung zu schützen.