Tech Blog

Die Version 1.6.20 des "Easy Video to iPod Converter" weist eine kritische Sicherheitslücke auf. Angreifer können durch Eingabe eines präparierten Payloads im Nutzerregistrierungsfeld einen lokalen Pufferüberlauf auslösen und so beliebigen Schadcode mit Nutzerrechten ausführen. Betroffen sind alle Nutzer des Konverters, ein Patch ist dringend empfohlen.

Die Version 1.0 des Content-Management-Systems CMSsite ist von einer SQL-Injektions-Schwachstelle betroffen. Unautorisierte Angreifer können über den cat_id-Parameter der Kategorie-Seite category.php Datenbankinhalte wie Nutzerkonten und Zugangsdaten auslesen. Die Lücke weist einen CVSSv3-Schweregrad von 8.2 "Hoch" auf. Betreiber sollten dringend ein Update auf eine neuere, nicht betroffene Version einspielen.

Die CVE-2019-25695 beschreibt eine kritische Sicherheitslücke in R 3.4.4, die es Angreifern ermöglicht, durch das Einfügen von bösartigem Input in das Sprachfeld der GUI-Einstellungen beliebigen Code auszuführen. Durch einen 292 Byte langen Offset und einen JMP ESP-Befehl können Angreifer Befehle wie "calc.exe" ausführen. Betroffene Nutzer sollten dringend ein Software-Update auf eine neuere, gepatcht Version von R installieren. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2019-25695, CVE-2018-25258).

Die Faleemi Desktop Software 1.8 enthält eine lokale Pufferüberlauf-Schwachstelle im System-Setup-Dialog, die Angreifer zur Umgehung von DEP-Schutzmaßnahmen durch strukturierte Ausnahmeverwaltung ausnutzen können. Über ein präpariertes Payload im "Speicherpfad für Schnappschuss und Aufnahmedatei"-Feld können Angreifer einen Pufferüberlauf auslösen und beliebigen Code via ROP-Kette ausführen.

Axios, eine beliebte HTTP-Bibliothek für Web-Anwendungen und Node.js, hat eine kritische Schwachstelle, die Prototype Pollution und Remote Code Execution ermöglicht. Angreifer können die Sicherheit von Cloud-Umgebungen umgehen, indem sie AWS IMDSv2-Schutzmaßnahmen aushebeln. Nutzer werden dringend empfohlen, auf Axios Version 1.15.0 oder höher zu aktualisieren, um dieses Risiko zu bannen.

Eine Sicherheitslücke in der PDSPRJ-Dateiverarbeitung von Labcenter Electronics Proteus ermöglicht Angreifern die Ausführung von beliebigem Schadcode. Betroffene Nutzer müssen lediglich eine präparierte Datei öffnen, um kompromittiert zu werden. Bis ein Patch vorliegt, sollten Anwender Vorsicht walten lassen und Dateien von unbekannter Herkunft nicht öffnen.

Eine kritische Sicherheitslücke in der AWS CLI ermöglicht es Angreifern, ohne Authentifizierung beliebigen Schadcode auf betroffenen Systemen auszuführen. Die Schwachstelle liegt in der mangelhaften Validierung von Benutzereingaben, die dann für Systemaufrufe verwendet werden. Betreiber müssen dringend ein Update auf eine Patched-Version der AWS CLI einspielen, um sich vor Angriffen zu schützen.

Eine kritische Sicherheitslücke (CVE-2026-5874, Schweregrad 9.6) in Googles Chrome-Browser ermöglicht es Angreifern, durch spezielle HTML-Seiten einen Sandbox-Ausbruch zu erzielen. Betroffen sind Chrome-Versionen vor 147.0.7727.55. Nutzer sollten umgehend auf die aktuelle Chrome-Version aktualisieren, um sich vor dieser Schwachstelle zu schützen.

Eine Sicherheitslücke im WordPress-Plugin "BuddyPress Groupblog" ermöglicht Angreifern mit Subscriber-Rechten, sich selbst oder andere Nutzer zu Administratoren auf der Hauptseite eines Multisite-Netzwerks zu eskalieren. Das Plugin akzeptiert unsicher Parameter zur Gruppenblog-Verwaltung, die eine unkontrollierte Rollenzuweisung erlauben.

Eine Authentifizierungslücke in der Juju Controller Fassade ermöglicht es Nutzern mit geringen Rechten, auf sensible Cloud-Zugangsdaten zuzugreifen. Dieses Problem gewährt Angreifern mit niedrigen Privilegien Zugriff auf essentielle Informationen zum Hochfahren des Controllers. Um dieses Risiko zu mindern, werden Nutzer dringend empfohlen, auf Juju Version 2.9.57 oder 3.6.21 zu aktualisieren, in denen diese Schwachstelle behoben wurde.