Tech Blog

Forscher haben eine schwerwiegende Sicherheitslücke im GNU InetUtils Telnet-Daemon (telnetd) entdeckt. Mit der Schwachstelle, die als CVE-2026-32746 bekannt ist, können Angreifer ohne Authentifizierung Schadcode mit Root-Rechten ausführen. Der Exploitierbarkeit wird mit einer CVSS-Bewertung von 9,8 von 10 als kritisch eingestuft. Betroffen sind Systeme, die den Telnet-Dienst auf Port 23 anbieten.

Eine hochkritische Sicherheitslücke mit einem CVSS-Score von 9.8 im Oracle Cloud Infrastructure Toolkit ermöglicht Angreifern die vollständige Übernahme betroffener Systeme. Betroffen sind Nutzer der Cloud-Infrastruktur-Verwaltungskonsole. Bis ein Patch verfügbar ist, empfehlen Experten dringend, das Toolkit nicht zu verwenden und alternative Sicherheitsmaßnahmen zu ergreifen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-27034, CVE-2025-54122, CVE-2025-21483, CVE-2026-2992).

Eine kritische Sicherheitslücke in Open Neural Network Exchange (ONNX) ermöglicht Zero-Interaction Supply-Chain-Angriffe. Durch Umgehung der Sicherheitskontrollen kann Schadcode über manipulierte Modelle eingeschleust und vertrauliche Daten abgegriffen werden. Bis zur Veröffentlichung eines Patches bleibt das System anfällig.

Versionen von OpenClaw vor 2026.2.19 enthalten eine Pfadtraversal-Schwachstelle im Feishu-Medien-Download-Workflow, bei der unsichere Medien-Keys direkt in temporäre Dateipfade eingebunden werden. Angreifer, die die Medien-Keys kontrollieren können, können so beliebige Dateien im OpenClaw-Prozess erstellen. Ein Patch ist erforderlich, um diese kritische Sicherheitslücke mit CVE-2026-22171 zu schließen.

Die JavaScript-PDF-Bibliothek jsPDF wies bis Version 4.2.1 eine kritische Sicherheitslücke auf, die es Angreifern ermöglichte, über unsanitierte Eingaben in der "output"-Funktion beliebigen HTML-Code in den Browser-Kontext des Opfers einzuschleusen. Dies erlaubte die Ausführung von Skripten und den Zugriff auf sensible Daten. Der Patch in Version 4.2.1 behebt das Problem. Bis dahin sollte man Benutzereingaben vor der Übergabe an die "output"-Funktion sorgfältig überprüfen.

Eine kritische Sicherheitslücke in der Moodle-Erweiterung "mod_customcert" ermöglicht es Lehrern mit bestimmten Berechtigungen, Zertifikatselemente anderer Kurse einzusehen und zu manipulieren. Betroffen sind die Versionen vor 4.4.9 und 5.0.3. Die Schwachstelle ermöglicht Informationslecks und Datentampering über Kursgrenzen hinweg. Die Entwickler haben das Problem in den aktuellen Versionen behoben.

Eine kritische Sicherheitslücke mit der Bewertung 9.8 wurde in der Desktop-Komponente des Oracle Edge Cloud Infrastructure Designer und Visualisierungs-Toolkits entdeckt. Leicht ausbeutbar ermöglicht sie einem unauthentifizierten Angreifer mit Netzwerkzugriff via HTTP die Übernahme des betroffenen Systems. Patches sind dringend erforderlich, um Schäden durch Ausnutzung dieser Schwachstelle (CVE-2026-21994) zu verhindern. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-21994, CVE-2025-15471).

Die Version 0.8.1-rc2 des LibreChat-Messengers verwendet den gleichen JWT-Geheimschlüssel für den Nutzersitzungsmechanismus und die RAG-API. Dies führt zu einer Kompromittierung der Dienstauthenifizierung der RAG-API. Administratoren sollten dringend auf eine neuere, sichere Version aktualisieren, um diese kritische Schwachstelle zu beheben.

Eine Sicherheitslücke im SpeedExam Online Examination System (SaaS) nach Version FEV2026 ermöglicht es Angreifern mit Zugangsberechtigung, die Beschränkungen auf der Clientseite zu umgehen und direkt auf die Methode "ReviewAnswerDetails" zuzugreifen. Dadurch können sie den vollständigen Antwortschlüssel einsehen.

Graphiti, ein Framework für KI-Agenten, hatte vor Version 0.28.2 eine Schwachstelle, die Cypher-Injection in Suchfiltern ermöglichte. Angreifer konnten über manipulierte Entitätstypen beliebigen Cypher-Code einschleusen. Dies betraf Backends wie Neo4j, FalkorDB und Neptune. Das Kuzu-Backend war nicht betroffen, da es parameterisierte Abfragen verwendete. Die Lücke wurde in Version 0.28.2 geschlossen.