Tech Blog

Das WordPress-Plugin "Aimogen Pro" ist bis einschließlich Version 2.7.5 von einer kritischen Sicherheitslücke (CVE-2026-4038) betroffen. Durch die fehlende Berechtigungsprüfung in der Funktion "aiomatic_call_ai_function_realtime" können unauthentizierte Angreifer beliebige WordPress-Funktionen wie "update_option" aufrufen. Damit können sie die Standard-Benutzerrolle auf "Administrator" ändern und die Benutzerregistrierung aktivieren, um so Administratorzugriff auf die verwundbare Website zu erlangen.

In der Version 1.0 des "itsourcecode Online Doctor Appointment System" wurde eine Sicherheitslücke entdeckt, die es Angreifern ermöglicht, über die Datei "/admin/appointment_action.php" SQL-Injektionen durchzuführen. Die Schwachstelle kann aus der Ferne ausgenutzt werden, da ein öffentlicher Exploit existiert. Administratoren sollten das System umgehend auf die neueste Version aktualisieren, um die Lücke zu schließen.

Eine kritische SQL-Injection-Lücke in der Suchfunktion der Open Source Point-of-Sale-Software erlaubt es authentifizierten Angreifern mit Zugriff auf die Artikelsuche, beliebige SQL-Abfragen auszuführen. Die Schwachstelle mit der CVE-ID CVE-2026-32888 hat einen Schweregrad von 8.8 (Hoch) und zum Zeitpunkt der Veröffentlichung noch keinen Patch. Sysadmins müssen die Artikelsuchfunktion sorgfältig überprüfen und geeignete Gegenmaßnahmen ergreifen, bis ein Sicherheitsupdate verfügbar ist.

In Oracle Identity Manager und Oracle Web Services Manager wurde eine kritische Sicherheitslücke mit CVSS-Score 9.8 entdeckt. Angreifer können damit ohne Authentifizierung die Kontrolle über diese Produkte übernehmen. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.2.1.0. Bis Oracle Patches veröffentlicht, müssen Administratoren dringend Gegenmaßnahmen ergreifen, um ihre Systeme vor Angriffen zu schützen.

Die Versionen 3.6.6 und älter des Charity-Verwaltungstools WeGIA weisen eine kritische Sicherheitslücke auf. Angreifer können über den listar_memorandos_ativos.php-Endpunkt beliebigen JavaScript-Code in die Anwendung injizieren. Das Problem wurde in Version 3.6.7 behoben.

Eine schwerwiegende Sicherheitslücke in den GitHub-Actions-Workflows des Jellyfin-iOS-Projekts ermöglicht Angreifern die Übernahme des gesamten Repositorys, einschließlich des Zugriffs auf hochsensible Geheimnisse und sogar Manipulationen der Apple App Store-Supply-Chain. Zum Glück erfordert diese Schwachstelle keine Codeänderungen seitens der Endnutzer.

Eine schwerwiegende Sicherheitslücke in Microsoft Bing Images ermöglicht es Angreifern, über ein Netzwerk beliebigen Code auszuführen. Die Schwachstelle, die als CVE-2026-32194 bekannt ist, betrifft die fehlerhafte Neutralisierung von Sonderelementen in Befehlen ("Command Injection"). Betroffen sind Nutzer, die Bing Images verwenden. Microsoft hat bislang noch keinen Patch veröffentlicht, sodass Administratoren zunächst Gegenmaßnahmen wie die Deaktivierung der betroffenen Funktionalität ergreifen müssen.

In Langflow, einem Tool zum Erstellen und Deployen von KI-basierten Agenten und Workflows, erlaubt die Endpunkt-Schwachstelle /api/v1/build_public_tmp/{flow_id}/flow vor Version 1.9.0 das Erstellen öffentlicher Flows ohne Authentifizierung. Dabei kann manipulierter Code in die optionalen Daten-Parameter eingeschleust und ohne Sandbox-Schutz ausgeführt werden, was zu einer kritischen Fernzugriffs-Lücke führt. Ein Patch in Version 1.9.0 hat dieses Problem behoben.

In Livewire v3 bis einschließlich v3.6.3 existiert eine kritische Sicherheitslücke, die es unauthentifizierten Angreifern ermöglicht, Remote Code Execution durchzuführen. Das Problem liegt in der Art und Weise, wie bestimmte Komponenteneigenschaften hydratisiert werden. Der Patch in v3.6.4 behebt diese Schwachstelle, weshalb Nutzer dringend zum Upgrade aufgefordert werden.

In den Versionen von OPEXUS eComplaint und eCASE vor 10.1.0.0 wird ein geheimer Verifizierungscode während eines Passwort-Reset-Vorgangs im HTTP-Response übertragen. Angreifer mit Kenntnis einer gültigen E-Mail-Adresse können dadurch Passwörter ohne weitere Sicherheitsüberprüfung zurücksetzen. Bestehende Sicherheitsfragen, die eine zusätzliche Verifizierung bieten könnten, werden in diesem Prozess umgangen, was das Risiko unberechtigten Zugriffs erhöht.