Tech Blog

Eine kritische SQL-Injection-Schwachstelle in Spring AI's MariaDBFilterExpressionConverter ermöglicht es Angreifern, Metadaten-basierte Zugriffskontrollen zu umgehen und beliebige SQL-Befehle auszuführen. Die Lücke entsteht durch fehlende Eingabesanitierung. Admins sollten dringend ein Sicherheitsupdate einspielen, sobald es verfügbar ist. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-22730, CVE-2026-22729).

Eine kritische Sicherheitslücke im WordPress-Plugin "KiviCare - Clinic & Patient Management System (EHR)" erlaubt es unauthentifizierten Angreifern, sich als beliebige Patienten anzumelden und so auf vertrauliche medizinische Aufzeichnungen, Termine, Rezepte und Abrechnungsinformationen zuzugreifen. Die Schwachstelle betrifft alle Versionen bis einschließlich 4.1.2 und resultiert aus mangelhafter Überprüfung des Zugangstokens beim Login über soziale Netzwerke.

Eine Sicherheitslücke im Arturia Software Center für macOS ermöglicht Angreifern durch Manipulation eines Skripts mit Administratorrechten die Ausführung beliebiger Befehle. Dies führt zu einer Privilegien-Eskalation auf dem betroffenen System. Ein Patch ist dringend erforderlich, um diese kritische Schwachstelle zu schließen.

In der oslabs-beta ThermaKube-Plattform wurde eine kritische Server-Side Request Forgery-Schwachstelle (CWE-918) entdeckt. Angreifer können diese Lücke ausnutzen, um unberechtigte Anfragen an andere Server zu senden. Administratoren sollten schnellstmöglich ein Sicherheitsupdate einspielen, um ihre Systeme vor möglichen Kompromittierungen zu schützen.

Eine kritische Schwachstelle (CVE-2026-32640) in der Python-Bibliothek SimpleEval ermöglichte es bösartigen Akteuren, über die Sandbox hinweg auf gefährliche Module zuzugreifen. Betroffen waren Versionen vor 1.0.5, in denen Objekte und Module direkt von außen eingeschleust werden konnten. Zum Glück wurde das Problem in Version 1.0.5 behoben. Sysadmins sollten dringend auf diese aktualisierte Version umstellen, um ihre Systeme vor Angriffen zu schützen.

Die Open-Source-Monitoring-Lösung Glances wies vor Version 4.5.2 eine schwerwiegende Sicherheitslücke auf. Angreifer konnten sich durch Missbrauch der Zeroconf-Diensterkennung Zugriff auf Glances-Zugangsdaten verschaffen. Zum Glück wurde der Fehler schnell behoben - Anwender sollten umgehend auf die aktuelle Version updaten.

In älteren Versionen von Glances, einem Open-Source-Monitoring-Tool, konnte eine unauthentifizierte Abfrage der Serverliste vertrauliche Zugangsdaten für geschützte Glances-Server preisgeben. Betroffen sind Systeme, die Glances ohne Passwortschutz betreiben. Mit Version 4.5.2 wurde die Sicherheitslücke behoben.

Eine Sicherheitslücke in ConnectWise ScreenConnect ermöglicht Angreifern mit Zugriff auf serverseitige kryptografische Materialien, unbefugten Zugriff zu erlangen. Dies kann zu erhöhten Berechtigungen in bestimmten Szenarien führen. Nutzer sollten ihre Serversicherheitskonfiguration umgehend überprüfen.

Forscher haben kritische Schwachstellen in Spring AI entdeckt, die Angreifern SQL- und JSONPath-Injection-Angriffe auf verbundene Datenbanken ermöglichen. Die Lücken können zur Kompromittierung von Systemen und zum Diebstahl sensibler Daten führen. Betroffene Anwender sollten umgehend die verfügbaren Sicherheitsupdates einspielen, um ihre Systeme vor Missbrauch zu schützen.

Eine Sicherheitslücke mit maximalem CVSS-Score von 10.0 in einem Datei-Browser ermöglicht Angreifern die Übernahme von Administratorrechten. Betroffen sind diverse Systeme, bei denen der Datei-Browser standardmäßig eingesetzt wird. Ein Patch ist dringend erforderlich, um die kritische Schwachstelle zu schließen und Systeme vor Kompromittierung zu schützen.