Tech Blog

Eine kritische Sicherheitslücke in Apache bRPC erlaubt Angreifern die Ausführung beliebiger Befehle auf betroffenen Systemen. Admins sollten dringend einen Patch installieren, um sich vor dieser Schwachstelle zu schützen. Ansonsten drohen böse Überraschungen aus dem Netz.

Eine kritische Schwachstelle im WordPress-Plugin "RegistrationMagic" (bis Version 6.0.7.1) ermöglicht Angreifern ohne Authentifizierung die Eskalation ihrer Rechte. Durch Manipulation des "admin_order"-Parameters können sie ihre Berechtigungen auf "manage_options" erhöhen. Auch wenn eine Ausnutzung der Lücke zunächst ohne Anmeldung möglich ist, erfordert die vollständige Kompromittierung zumindest einen Abonnenten-Account.

Eine Schwachstelle in der Libtiff-Bibliothek ermöglicht Angreifern, durch das Einschleusen speziell präparierter TIFF-Bilddateien, die Kontrolle über den betroffenen Rechner zu erlangen. Die Lücke kann zur Ausführung beliebigen Codes oder sogar zum Absturz der Anwendung führen. Administratoren sollten umgehend Patches oder Workarounds implementieren, um sich vor dieser kritischen Sicherheitslücke zu schützen.

Eine schwerwiegende Sicherheitslücke (CVE-2025-14236) in der Adressbuch-Verarbeitung bei Canon-Multifunktionsdruckern ermöglicht Angreifern im Netzwerksegment, die Geräte zum Absturz zu bringen oder beliebigen Code auszuführen. Betroffen sind diverse Modelle der Serien Satera, Color imageCLASS, i-SENSYS und imageRUNNER mit Firmware-Version 06.02 oder älter. Ein Patch ist erforderlich, um das kritische Sicherheitsrisiko zu beheben. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-14236, CVE-2025-14231).

Eine kritische Sicherheitslücke in den Druckertreibern verschiedener Multifunktionsgeräte und Laserdrucker ermöglicht Angreifern im Netzwerk, die betroffenen Produkte zum Absturz zu bringen oder sogar beliebigen Code auszuführen. Betroffen sind ältere Firmwareversionen von Geräten der Serien Satera, Color imageCLASS, imageCLASS und i-SENSYS. Ein Patch ist dringend erforderlich, um die Systeme vor Missbrauch zu schützen.

Das WordPress-Plugin "Registration & Login with Mobile Phone Number for WooCommerce" weist eine kritische Schwachstelle auf, die es unautorisieren Angreifern ermöglicht, sich als beliebige Nutzer, inklusive Administratoren, ohne gültiges Passwort anzumelden. Dies betrifft alle Versionen bis einschließlich 1.3.1 des Plugins.

Delta Electronics' DIAView-Software ist von mehreren Sicherheitslücken betroffen, die unbefugten Zugriff und Manipulation sensibler Daten ermöglichen. Diese Schwachstellen können von Angreifern ausgenutzt werden, um Betriebsabläufe zu stören und erhebliche Sicherheitsrisiken zu verursachen. Anwender müssen ihre Systeme dringend überprüfen und geeignete Schutzmaßnahmen ergreifen, um die mit CVE-2025-62581 verbundenen Gefahren zu mindern.

Das WordPress-Plugin "All-in-One Video Gallery" ist bis einschließlich Version 4.5.7 von einer kritischen Schwachstelle betroffen, die es Angreifern ermöglicht, beliebige Dateien auf dem Server hochzuladen und potenziell die Kontrolle über die Seite zu erlangen. Die Sicherheitslücke betrifft die mangelhafte Überprüfung von VTT-Dateien und kann von Autoren und höher ausgenutzt werden. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-12957, CVE-2025-14844, CVE-2025-12957).

Eine fehlerhafte Implementierung des Authentifizierungsalgorithmus in mehreren Versionen von ABB Ability OPTIMAX ermöglicht potenziell unbefugten Zugriff auf sensible Funktionen. Betroffen sind die Versionen 6.1, 6.2 sowie Versionen von 6.3.0 bis vor 6.3.1-251120 und von 6.4.0 bis vor 6.4.1-251120. Anwender müssen dringend die notwendigen Updates einspielen, um Risiken zu mindern.

Eine Sicherheitslücke im Apache bRPC Heap Profiler Service ermöglicht Angreifern die Ausführung von Befehlen auf dem Server. Dies ist möglich, da Nutzereingaben unzureichend überprüft werden. Insbesondere die "extra_options"-Funktion ist betroffen, über die Schadsoftware eingeschleust werden kann. Zum Glück gibt es bereits einen Patch in Version 1.15.0, der dieses Problem behebt. Sysadmins sollten also schnell handeln, bevor die ersten Script-Kiddies zuschlagen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-60021, CVE-2025-60021).