Tech Blog

Eine Sicherheitslücke in Microsoft Office SharePoint (CVE-2026-20963) ermöglicht autorisierten Angreifern, über ein Netzwerk beliebigen Schadcode auszuführen. Die Schwachstelle mit einem Schweregrad von 8.8 (hoch) betrifft die Deserialisierung von nicht vertrauenswürdigen Daten. Admins sollten umgehend Microsofts Sicherheitsupdates installieren, um ihre SharePoint-Umgebungen vor Missbrauch zu schützen.

Eine schwerwiegende Sicherheitslücke in Safari, watchOS, iOS, iPadOS, macOS und tvOS ermöglicht Angreifern die Ausnutzung von Speicherkorruption durch manipulierte Webinhalte. Apple hat die Lücke mit Updates für seine Produkte geschlossen. Systemadministratoren sollten die Aktualisierungen zeitnah einspielen, um ihre Systeme vor Angriffen zu schützen.

Eine Sicherheitslücke im IdentityBrokerService.performLogin-Endpunkt von Keycloak ermöglicht es Angreifern, sich auch dann über einen Identitätsanbieter (IdP) zu authentifizieren, wenn dieser vom Administrator deaktiviert wurde. Mit dem bekannten IdP-Alias kann ein zuvor generierter Login-Request wiederverwendet werden, um die Zugangskontrolle zu umgehen und sich über einen deaktivierten externen Anbieter unauthorized anzumelden.

Eine kritische Sicherheitslücke mit der Bewertung 9.8 wurde in der Finag-Software von Themeton entdeckt. Durch die Deserialisierung von unsicheren Daten kann es zu Object Injection kommen. Das Problem betrifft alle Versionen von Finag von n/a bis 1.5.0. Admins sollten dringend auf eine aktualisierte Version upgraden, sobald ein Patch verfügbar ist.

Eine Sicherheitslücke in der Java-Komponente XMLUtils.java des Slovensko.Digital Autogram ermöglicht es unauthentifizierten Angreifern, Server-seitige Anfragen zu manipulieren und unbefugten Zugriff auf lokale Dateien zu erlangen. Die Schwachstelle vom Typ "Improper Restriction of XML External Entity Reference" kann durch das Öffnen einer präparierten Website ausgenutzt werden. Betroffene Anwender sollten umgehend ein Update einspielen, um die Verwundbarkeit zu beheben.

Eine kritische Pufferüberlauf-Schwachstelle in der XML-Parsing-Bibliothek XML::Parser für Perl ermöglicht Angreifern, durch das Parsen von XML-Dateien mit extrem tiefer Verschachtelung, die Ausführung von beliebigem Code. Betroffen sind alle Versionen bis 2.47. Ein Patch ist verfügbar, Anwender sollten ihre XML-Parser-Bibliotheken umgehend aktualisieren.

In der beliebten Bioinformatik-Bibliothek HTSlib wurde eine kritische Sicherheitslücke in der CRAM-Komprimierung entdeckt. Durch unzureichende Validierung der Sequenzdaten können Angreifer Speicherzugriffe außerhalb des gültigen Bereichs erzwingen, was zu Informationslecks oder Abstürzen führen kann. Zum Glück gibt es bereits Patches für die betroffenen Versionen 1.23.1, 1.22.2 und 1.21.1.

Eine kritische Schwachstelle in der HTSlib-Bibliothek zum Lesen und Schreiben von Bioinformatik-Dateiformaten ermöglicht Datenlecks und Abstürze. Betroffen sind die Versionen 1.23.1, 1.22.2 und 1.21.1. Es gibt keine Workarounds, aber Sicherheitsupdates stehen zur Verfügung.

In Feathersjs, einem Framework für Web-APIs und Echtzeit-Anwendungen, besteht von Version 5.0.0 bis vor 5.0.42 eine kritische Sicherheitslücke. Angreifer können ohne Authentifizierung eine präparierte GET-Anfrage an den /oauth/:provider/callback-Endpunkt senden und so über eine Schwachstelle in der Authentifizierungskette an gültige Zugriffstoken für bestehende Nutzer gelangen, ohne den OAuth-Prozess zu durchlaufen. Das Problem ist in Version 5.0.42 behoben.

Eine schwerwiegende Sicherheitslücke wurde in diversen D-Link-Router-Modellen entdeckt. Durch Manipulation der Web-Oberfläche kann ein Angreifer einen Pufferüberlauf auslösen und so potenziell die Kontrolle über das Gerät erlangen. Der Exploit ist bereits öffentlich verfügbar, Anwender sollten dringend Sicherheitsupdates installieren, um sich vor Angriffen zu schützen. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-4213, CVE-2026-4211, CVE-2026-4212).