Tech Blog

Eine Sicherheitslücke in der Fastify-Middleware @fastify/middie vor Version 9.1.0 ermöglicht es Angreifern, Schutzmaßnahmen zu umgehen, indem sie URL-kodierte Zeichen verwenden. Obwohl die Middleware-Engine den codierten Pfad nicht erkennt, kann der Fastify-Router ihn korrekt decodieren und den Endpunkt aufrufen. Dieses Problem wurde in Version 9.1.0 behoben.

Eine Sicherheitslücke in der externen OAuth2-Token-Middleware von OpenStack ermöglicht es Angreifern, ihre Rechte zu erhöhen und andere Nutzer zu imitieren. Betroffen sind die Versionen 10.5 bis 10.7 vor 10.7.2, 10.8 und 10.9 vor 10.9.1 sowie 10.10 bis 10.12 vor 10.12.1. Durch mangelhafte Eingabevalidierung können gefälschte Identitätsheader eingeschleust werden, um Privilegien zu erlangen. Admins sollten dringend auf die korrigierten Versionen aktualisieren.

Eine kritische Sicherheitslücke im WordPress-Plugin "Registration & Login with Mobile Phone Number for WooCommerce" ermöglicht es Angreifern, ohne gültige Zugangsdaten auf beliebige Nutzerkonten, inklusive Administratoren, zuzugreifen. Dieses Authentifizierungs-Bypass-Problem betrifft Versionen bis 1.3.1 und stellt ein erhebliches Risiko für Websites dar, die dieses Plugin einsetzen.

Eine Schwachstelle in n8n's Python-Task-Executor ermöglicht es Angreifern, durch Manipulation der Stringformatierung und Ausnahmebehandlung, die Sandbox-Beschränkungen zu umgehen und beliebigen Code auf dem zugrunde liegenden Betriebssystem auszuführen. Dies kann in einem vollständigen Kontrollverlust über die n8n-Instanz resultieren, sofern sie im "Internen" Ausführungsmodus betrieben wird. Nutzer mit Basisprivilegien können die Lücke ausnutzen. Für den "Externen" Ausführungsmodus ist die Auswirkung deutlich geringer, da die Codeausführung dann in einem Sidecar-Container erfolgt.

Forscher haben eine Schwachstelle in Redis-Datenbanken entdeckt, die es Angreifern ermöglicht, Schadcode auszuführen. Die Schwachstelle mit der CVE-ID CVE-2025-62507 betrifft einen Stack-Puffer-Überlauf und kann durch Verwendung des XACKDEL-Befehls ausgenutzt werden. Sysadmins sollten dringend Redis-Instanzen auf den neuesten Stand bringen, um ihre Systeme vor diesem kritischen Sicherheitsrisiko zu schützen.

Eine kritische Schwachstelle für reflektiertes Cross-Site-Scripting (XSS) wurde in der WeGIA Web Manager-Software für gemeinnützige Einrichtungen vor Version 3.6.2 entdeckt. Die Lücke ermöglicht es Angreifern, über den id_memorando-GET-Parameter beliebigen JavaScript-Code in den Kontext authentifizierter Nutzer einzuschleusen und so deren Browsersitzung zu kompromittieren. Betroffene Nutzer sollten dringend auf Version 3.6.2 oder höher aktualisieren, um das Risiko zu bannen.

Zalando's Skipper HTTP-Router, der für Service-Komposition eingesetzt wird, weist vor Version 0.23.0 eine Sicherheitslücke in der Standardkonfiguration auf. Der -lua-sources-Parameter ermöglicht es böswilligen Nutzern, Lua-Filter zu erstellen und einzuschleusen. Angreifer könnten diese Funktion über eine Kubernetes-Ingress-Ressource ausnutzen und so unbefugten Zugriff auf das zugrunde liegende Dateisystem erlangen. Auch der Zugriff auf sensible Geheimnisse in Skipper-Logs wäre möglich. Das Problem wurde in Version 0.23.0 behoben, ein Update wird daher dringend empfohlen.

Die Entwicklungsplattform MCPJam Inspector wies bis zur Version 1.4.2 eine kritische Sicherheitslücke auf, die Angreifern die Ausführung von Schadcode ermöglichte. Durch die Standardeinstellung, auf allen Netzwerkschnittstellen zu lauschen, konnten Angreifer die Lücke über präparierte HTTP-Anfragen ausnutzen. Nutzer sollten dringend auf Version 1.4.3 aktualisieren, in der die Sicherheitslücke CVE-2026-23744 behoben wurde.

In der Modular-Connector-Komponente von Modular DS wurde eine Sicherheitslücke entdeckt, die es Angreifern ermöglicht, ihre Rechte im System unrechtmäßig zu erhöhen. Betroffen sind die Versionen 2.5.2 bis, aber nicht einschließlich, 2.6.0. Dadurch können sensible Funktionen für unbefugte Nutzer zugänglich werden, was die Integrität des Systems gefährdet.

Eine Fehlkonfiguration in Microsoft Power Apps ermöglicht autorisierten Nutzern die Ausführung beliebigen Codes über ein Netzwerk. Diese kritische Schwachstelle (CVE-2026-20960) stellt ein erhebliches Risiko dar und kann Angreifern den Zugriff auf sensible Systeme und Daten verschaffen. Admins sollten umgehend Gegenmaßnahmen ergreifen, sobald ein Patch von Microsoft verfügbar ist.