Tech Blog

Eine schwerwiegende Sicherheitslücke in der Bibliothek libsoup ermöglicht Angreifern das Ausführen von beliebigem Code. Die Schwachstelle tritt beim Parsen von mehrteiligen HTTP-Antworten auf und kann durch speziell präparierte Anfragen ausgenutzt werden. Betroffen sind Anwendungen, die ungeprüfte Serverantworten verarbeiten. Ein Patch ist erforderlich, um die Verwundbarkeit zu beheben und Abstürze oder Schadcode-Ausführung zu verhindern.

Das WordPress-Plugin "Popup builder with Gamification, Multi-Step Popups, Page-Level Targeting, and WooCommerce Triggers" weist eine kritische SQL-Injection-Schwachstelle auf, die es unauthentifizierten Angreifern ermöglicht, sensible Daten aus der Datenbank abzugreifen. Die Lücke betrifft alle Versionen bis einschließlich 2.2.0 und wurde in den Versionen 2.2.1 und 2.2.3 behoben.

Eine Diskrepanz bei der Verarbeitung von Go- und C/C++-Kommentaren ermöglichte es, Code in den resultierenden cgo-Binärcode zu schmuggeln. Dies könnte Sicherheitslücken und unerwartetes Verhalten zur Folge haben. Betroffen sind Anwendungen, die Go und cgo verwenden. Bis ein Patch verfügbar ist, sollten Entwickler ihre Kommentarverarbeitung überprüfen und sicherstellen, dass keine unerwünschten Inhalte in den finalen Binärcode gelangen.

In der Langroid-Framework-Version vor 0.59.32 gibt es eine Schwachstelle, die es ermöglicht, den Schutz vor Code-Injektion zu umgehen. Durch eine Kombination von Designschwächen kann die Ausführung beliebigen Codes erreicht werden. Zum Glück wurde dieses Problem in Version 0.59.32 behoben.

Vor Version 3.57.0 des Dateimanagers Alist wurde die SSL/TLS-Zertifikatsprüfung standardmäßig deaktiviert, was das System anfällig für Man-in-the-Middle-Angriffe machte. Dadurch konnten Angreifer sämtliche Daten während der Dateiübertragungen entschlüsseln, stehlen oder manipulieren, was die Vertraulichkeit und Integrität der Nutzerdaten massiv gefährdete. Die Schwachstelle mit der CVE-ID CVE-2026-25160 wurde in Version 3.57.0 behoben.

Eine Schwachstelle in IBM Aspera Console ermöglicht es Angreifern, via SQL-Injektion auf die Datenbank zuzugreifen und Informationen auszulesen, zu manipulieren oder zu löschen. Betroffen sind die Versionen 3.4.0 bis 3.4.8. Admins sollten umgehend auf die neueste Version aktualisieren, um das System vor Kompromittierung zu schützen.

Eine kritische SQL-Injektion-Schwachstelle in der phpMyChat Plus 1.98-Version ermöglicht Angreifern, durch manipulierte Eingaben in der deluser.php-Seite auf vertrauliche Datenbank-Informationen zuzugreifen. Verschiedene Techniken wie boolean-basierte, fehlerbasierte und zeitbasierte blinde SQL-Injektion können ausgenutzt werden. Administratoren sollten dringend ein Sicherheitsupdate einspielen, um die Lücke zu schließen.

In älteren Versionen von Tugtainer, einem Tool zum Automatisieren von Docker-Container-Updates, wurden Passwörter über URL-Parameter anstatt im HTTP-Requestkörper übertragen. Dies führte dazu, dass Passwörter in Serverprotokolle, Browser-Verlauf und Proxy-Logs gelangen konnten. Die Schwachstelle mit der CVE-ID CVE-2026-23846 wurde in Version 1.16.1 behoben.

In der Delta Course Automation-Software von Martcode Software Inc. wurde eine kritische SQL-Injection-Schwachstelle entdeckt. Angreifer können damit unbefugt auf sensible Daten zugreifen. Eine schnelle Behebung des Problems ist dringend erforderlich, da sonst erhebliche Schäden durch Datenverlust und Integrität drohen.

Das Bundesamt für Sicherheit in der Informationstechnik (CERT-Bund) warnt, dass über 2.500 VMware ESXi-Server im Internet erreichbar sind und damit anfällig für Angriffe über die Sicherheitslücke CVE-2025-22225 sind. Diese Schwachstelle ermöglicht Fernzugriff und Ausführung von Schadcode. Administratoren sollten umgehend Patches installieren und die Erreichbarkeit der Server überprüfen, um Kompromittierungen zu verhindern.