Tech Blog

In Airflow 3.2 wurde eine Sicherheitslücke behoben, bei der nach dem Logout eines Nutzers dessen JWT-Token nicht ungültig gemacht wurde. Dadurch bestand die Möglichkeit, das Token im Falle eines Abfangens wiederzuverwenden. Nutzer, die sich um die Logout-Szenarien und die Möglichkeit des Tokenmissbrauchs sorgen, sollten auf Airflow 3.2 oder höher upgraden.

Eine Sicherheitslücke in der Konfigurationsverarbeitung des Unfurl-Frameworks ermöglicht es Angreifern, den Flask-Debugger standardmäßig zu aktivieren. Dadurch können sensible Informationen preisgegeben oder sogar Remotecodeausführung erreicht werden. Betroffen sind Anwendungen, die das Unfurl-Framework nutzen und keine angemessene Eingabevalidierung implementiert haben.

GitLab hat eine Sicherheitslücke in seinen Versionen 16.9.6 bis 18.8.9, 18.9 bis 18.9.5 und 18.10 bis 18.10.3 behoben. Durch die Schwachstelle konnten authentifizierte Nutzer unbeabsichtigte serverseitige Methoden über Websocket-Verbindungen aufrufen. Die Lücke wurde als "Hoch" eingestuft und sollte zeitnah geschlossen werden.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-5854 wurde in der Firmware des Totolink A7100RU Routers entdeckt. Die Schwachstelle ermöglicht Fernzugriff und Ausführung beliebiger Befehle auf dem Gerät. Ein Exploit ist bereits öffentlich und kann von Angreifern missbraucht werden. Router-Betreiber sollten umgehend ein Firmware-Update einspielen, um sich vor Angriffen zu schützen.

Ach, schon wieder eine Schwachstelle in Chromes WebML. Diesmal können Angreifer durch mangelhafte Eingabevalidierung einen Speicherüberlauf auslösen und möglicherweise sogar Code ausführen. Zum Glück ist die Schwere nur als "gering" eingestuft - scheint also kein allzu großes Drama zu sein. Trotzdem sollten Nutzer schnell auf die aktuelle Chrome-Version upgraden, bevor irgendwelche Hacker anfangen, das auszunutzen.

Die Webanwendung WeGIA für gemeinnützige Einrichtungen wies bis Version 3.6.8 eine kritische SQL-Injection-Schwachstelle auf. Durch unzureichende Eingabevalidierung konnten authentifizierte Nutzer beliebige SQL-Befehle auf der Datenbank ausführen. Dieser Fehler wurde in Version 3.6.9 behoben.

Sicherheitsexperten sind verwirrt, da die Schwachstelle CVE-2026-39334 eine Kopie von CVE-2026-39334 ist. Alle Referenzen und Beschreibungen wurden entfernt, um eine versehentliche Verwendung zu verhindern. Es wird empfohlen, stattdessen ausschließlich CVE-2026-39334 zu verwenden.

Eine kritische Sicherheitslücke in n8n-MCP, einem Server für KI-Assistenten, erlaubt es Angreifern mit gültigem AUTH_TOKEN, beliebige URLs abzurufen - einschließlich vertraulicher Cloud-Metadaten und interner Dienste. Betroffen sind Multi-Tenant-Installationen, in denen Tokens geteilt werden. Der Patch 2.47.4 behebt dieses Problem.

NVIDIA hat Sicherheitsupdates für seine DALI-Bibliothek und den Triton Inference Server veröffentlicht, um kritische Sicherheitslücken zu schließen. Betroffen ist unter anderem die Remote Code Execution-Lücke CVE-2025-23316 mit einem CVSS-Score von 9.8. Admins sollten die Systeme umgehend aktualisieren, um Angreifer daran zu hindern, die Kontrolle über die Systeme zu übernehmen.

Sicherheitsforscher haben eine kritische Schwachstelle in der KI-Entwicklungsplattform Flowise entdeckt. Hacker können dadurch beliebigen JavaScript-Code injizieren und so die volle Kontrolle über betroffene Systeme erlangen. Die Lücke mit der Bewertung CVSS 10.0 wurde zwar bereits gepatcht, aber tausende Anwender haben ihre Systeme offenbar noch nicht aktualisiert.