Tech Blog

Das Dokan WooCommerce Plugin für WordPress weist eine schwerwiegende Sicherheitslücke auf, die es autorisierten Nutzern mit Kundenprivilegien oder höher ermöglicht, sensible Einstellungen anderer Verkäufer, wie Zahlungsdetails und persönliche Daten, über die `/wp-json/dokan/v1/settings` REST-API-Schnittstelle zu manipulieren. Diese Schwachstelle stellt ein ernsthaftes Risiko dar, da sie unbefugte Änderungen an Verkäuferdaten und potenziellen Diebstahl während Marktplatztransaktionen ermöglicht.

Eine kritische Schwachstelle im Cloudflare Web Application Firewall (WAF) erlaubte Angreifern, die Sicherheitskontrollen zu umgehen und direkt auf Webserver zuzugreifen. Die Auswirkungen der Lücke sind erheblich, da Cloudflare als wichtiger Schutz gegen Cyberangriffe gilt. Cloudflare hat mittlerweile einen Patch veröffentlicht, um die Schwachstelle zu schließen. Betroffene Unternehmen sollten das Update zeitnah einspielen, um ihre Systeme vor Missbrauch zu schützen.

Eine kritische Sicherheitslücke in der TYPO3-Erweiterung "AWS Toolbox" ermöglicht den Einsatz unsicherer Verschlüsselungsalgorithmen. Betroffen sind die Versionen 12.0.0 bis 12.0.1 sowie 11.0.3 und älter. Nutzer sollten die Erweiterung schnellstmöglich auf die aktualisierten Versionen 11.0.4 und 12.0.2 aktualisieren.

Eine kritische Schwachstelle in der TYPO3-Erweiterung "AWS SDK for PHP" ermöglicht Angreifern den Einsatz unsicherer Verschlüsselungsalgorithmen. Betroffen sind Versionen bis 3.367.3. Ein Update auf 3.368.0 behebt den Fehler, Admins sollten die Erweiterung schnellstmöglich aktualisieren.

Eine kritische Schwachstelle in der TYPO3-Extension "Mailqueue" ermöglicht unsichere Deserialisierung. Betroffen sind die Versionen 0.5.0 und älter. Anwender werden dringend empfohlen, auf die aktualisierten Versionen 0.5.1 oder 0.4.3 zu aktualisieren, um diese Sicherheitslücke zu schließen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-0895, CVE-2026-23950).

Eine kritische Sicherheitslücke in der Video-Download-App MyTube ermöglicht es unauthentifizierten Nutzern, Zugriff auf sensible Einstellungen und Daten zu erlangen. Das Problem liegt in der unzureichenden Überprüfung von Benutzerauthentifizierung. Nutzer mit aktivierter Anmeldung sind betroffen und sollten dringend auf Version v1.7.66 aktualisieren, die den Fehler behebt. Alternativ können Firewalls oder Reverse-Proxys als Workaround eingesetzt werden, um den Zugriff auf die betroffenen Schnittstellen einzuschränken.

In der Python-Bibliothek jaraco.context wurde eine kritische Pfadtraversal-Schwachstelle entdeckt. Angreifer können durch präparierte Tar-Archive Dateien außerhalb des vorgesehenen Extraktionsverzeichnisses extrahieren. Der Patch in Version 6.1.0 behebt dieses Problem.

Eine schwerwiegende Sicherheitslücke in ImageMagick, der beliebten Open-Source-Software zum Bearbeiten und Manipulieren digitaler Bilder, ermöglicht Angreifern die Ausführung von Code durch das Verarbeiten präparierter Bilddateien. Die Schwachstelle betrifft die Versionen 7.1.2-13 und 6.9.13-38 und sollte dringend behoben werden.

Das WordPress-Plugin "Dokan: AI Powered WooCommerce Multivendor Marketplace Solution" weist eine kritische Sicherheitslücke (CVE-2025-14977) auf, die es Angreifern ermöglicht, auf vertrauliche Zahlungsinformationen und Kontaktdaten anderer Verkäufer zuzugreifen und diese zu manipulieren. Dies kann zu Identitätsdiebstahl und finanziellen Verlusten führen. Ein Patch ist dringend erforderlich. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-14977, CVE-2025-14533).

Eine Use-after-free-Lücke in der ANGLE-Bibliothek von Google Chrome erlaubt es Angreifern, durch präparierte HTML-Seiten potenziell Heap-Korruption auszunutzen. Die Schwachstelle betrifft Chrome-Versionen vor 144.0.7559.59 und wird von Google als "Low" eingestuft. Ein Patch ist verfügbar, Anwender sollten ihr Chrome-Browser zeitnah aktualisieren. Insgesamt wurden 4 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-0908, CVE-2026-0907, CVE-2026-0906, CVE-2026-0902).