Tech Blog

Eine schwerwiegende Sicherheitslücke in Modem-Firmware ermöglicht Angreifern die Ausführung von beliebigem Schadcode ohne zusätzliche Berechtigungen. Die Schwachstelle mit der CVE-ID CVE-2026-0114 resultiert aus einem fehlerhaften Grenzencheck, der ein "Out-of-Bounds Write" zulässt. Eine Interaktion des Nutzers ist für die Ausnutzung der Lücke nicht erforderlich, was die Gefährdung erhöht.

In der Linux-Kernel-Komponente mfc_dec_v4l2.c wurde eine schwerwiegende Sicherheitslücke entdeckt, die eine unautorisierte Rechteausweitung auf lokaler Ebene ermöglicht. Die Schwachstelle ist mit einem CVSS-Score von 8.4 als "hoch" eingestuft und erfordert keine Benutzerinteraktion für einen erfolgreichen Exploit. Administratoren sollten umgehend einen Patch oder Workaround implementieren, um ihre Systeme vor möglichen Angriffen zu schützen.

Eine Sicherheitslücke im PHP-Programm CloudMe ermöglicht es Angreifern, lokal Dateien einzubinden. Dies betrifft Versionen von CloudMe bis einschließlich 1.2.2. Die Schwachstelle hat einen hohen Schweregrad von 8.1 und sollte zeitnah behoben werden.

In der Verwaltungssoftware ThemeREX Alliance wurde eine kritische Schwachstelle entdeckt, die es Angreifern ermöglicht, lokal Dateien einzubinden. Das betrifft Versionen von n/a bis 3.1.1. Admins sollten schnell auf die neueste Version updaten, um Schaden von ihren Systemen abzuwenden.

In dem WordPress-Plugin "Don Peppe" wurde eine schwerwiegende Sicherheitslücke (CVE-2026-22449) entdeckt. Angreifer können durch die fehlerhafte Überprüfung von Dateinamen in PHP-Includes lokale Dateien auslesen. Das betrifft Versionen von Don Peppe bis einschließlich 1.3. Admins sollten das Plugin umgehend auf die neueste Version aktualisieren, um ihre Systeme vor Angriffen zu schützen.

Eine kritische Schwachstelle in der Deserialisierung von Daten in Secudeal Payments für E-Commerce ermöglicht die Ausführung von Schadcode. Das Problem betrifft Versionen von 1.1 und älter. Admins sollten umgehend auf die neueste Version aktualisieren, um ihre Systeme vor Angriffen zu schützen.

In der Funktion ns_GetUserData aus der Datei ns_SmscbUtilities.c gibt es eine mögliche Out-of-Bounds-Schreiblücke aufgrund eines fehlerhaften Bounds-Checks. Dies könnte zu einer Remote-Eskalation von Berechtigungen ohne zusätzliche Ausführungsrechte führen. Für die Ausnutzung der Schwachstelle ist keine Benutzerinteraktion erforderlich. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-0111, CVE-2026-0113).

Eine kritische Sicherheitslücke in der Weboberfläche des OliveTin-Dienstes ermöglicht es Angreifern, durch manipulierte Eingaben beliebige Dateien auf dem System zu erstellen. Das Problem betrifft Versionen vor 3000.11.2 und sollte umgehend behoben werden.

Forscher haben eine schwerwiegende Sicherheitslücke in Sylius, einem Open-Source-eCommerce-Framework auf Basis von Symfony, entdeckt. Die Lücke ermöglicht es Angreifern, Aktionen wie die Einlösung von Rabattgutscheinen oder Werbeaktionen unbegrenzt zu wiederholen, was zu direkten finanziellen Verlusten führen kann. Das Problem liegt in einer Race Condition bei der Überprüfung und Aktualisierung der Nutzungsgrenzen. Glücklicherweise wurden in den neuesten Versionen Patches veröffentlicht, die die Schwachstelle beheben.

Eine kritische Sicherheitslücke in der Nuclio Serverless-Plattform ermöglicht Schadcode-Injektion über benutzerdefinierte Argumente. Betroffen ist die Nuclio Shell Runtime-Komponente vor Version 1.15.20. Durch mangelnde Eingabevalidierung können Angreifer beliebige Shell-Befehle ausführen. Der Patch in Version 1.15.20 behebt dieses Problem. Sysadmins sollten schnellstmöglich auf die aktualisierte Version umstellen, um ihre Systeme vor Kompromittierung zu schützen.