Tech Blog

Eine schwerwiegende Schwachstelle mit der CVE-ID CVE-2023-43010 in Apple-Produkten wie iOS, iPadOS und macOS ermöglicht die Ausnutzung von Speicherkorruption durch manipulierte Webinhalte. Apple hat das Problem in den Versionen 17.2 und 16.7.15 behoben. Sysadmins sollten die Aktualisierungen zeitnah einspielen, um ihre Systeme vor möglichen Angriffen zu schützen.

Eine Schwachstelle vom Typ Pufferüberlauf im D-Link DIR-513 Router v1.10 ermöglicht es Angreifern, durch Manipulation des curTime-Parameters in der Funktion "formSetWizardSelectMode" die Kontrolle über das Gerät zu übernehmen. Mit einem CVE-Schweregrad von 7.5 (Hoch) sollten Administratoren das Gerät dringend aktualisieren, sobald ein Patch verfügbar ist. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-70245, CVE-2026-26793).

Das Homey BNB V4-System enthält eine schwerwiegende SQL-Injection-Schwachstelle im Admin-Loginbereich. Unauthentifizierte Angreifer können durch Eingabe von SQL-Operatoren in Benutzername und Passwort die Authentifizierung umgehen und unbefugten Zugriff auf das Adminpanel erlangen. Ein Patch ist erforderlich, um diese kritische Sicherheitslücke zu schließen.

Eine kritische Sicherheitslücke (CVE-2026-23744) mit einer Bewertung von 9.8 wurde in den Versionen 1.4.2 und früher des lokalen Entwicklungstools MCPJam inspector entdeckt. Die Schwachstelle ermöglicht Angreifern die Ausführung von Schadcode, da das Tool standardmäßig auf 0.0.0.0 lauscht anstatt auf 127.0.0.1. Mit einer simplen HTTP-Anfrage können Angreifer die RCE-Lücke ausnutzen. Die Version 1.4.3 enthält einen Patch, der das Problem behebt.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2025-70039 wurde in der Version 2023.Q1.1223 des Linagora Twake-Produkts entdeckt. Die Schwachstelle ermöglicht es Angreifern, durch die unsachgemäße Neutralisierung von Sonderzeichen in Betriebssystem-Befehlen, beliebigen Code auszuführen. Administratoren sollten umgehend ein Sicherheitsupdate einspielen, um ihre Systeme vor Kompromittierung zu schützen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-70039, CVE-2026-25173).

Eine kritische Sicherheitslücke in der Entwicklungsumgebung des Headless-CMS TinaCMS ermöglicht es Angreifern, durch einfaches Aufrufen einer manipulierten Website, willkürliche Dateien auf den Rechnern von Entwicklern zu lesen, zu schreiben und zu löschen. Die Lücke mit der CVE-ID CVE-2026-28792 wurde in Version 2.1.8 behoben.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-28793 wurde in der Tina CMS-Entwicklungsumgebung entdeckt. Vor Version 2.1.8 ermöglichte dies Angreifern den Zugriff auf und die Manipulation von Dateien außerhalb des vorgesehenen Medienverzeichnisses. Der Patch in Version 2.1.8 behebt dieses Sicherheitsrisiko mit hoher Gefährdung (8.4 nach CVSS).

Eine kritische Autorisierungslücke in der Web-Anwendung Vito ermöglichte es Angreifern mit Zugriff auf einen Projektworkflow, Websites auf Servern anderer Projekte zu erstellen und zu verwalten. Die Schwachstelle wurde in Version 3.20.3 behoben.

Eine kritische Sicherheitslücke mit hoher Schwere (CVE-2026-25172) in Windows Routing and Remote Access Service (RRAS) ermöglicht es Angreifern, über ein Netzwerk beliebigen Code auszuführen. Das Problem resultiert aus einem Integer-Überlauf. Administratoren sollten dringend das entsprechende Sicherheitsupdate von Microsoft installieren, um ihre Systeme vor Missbrauch zu schützen.

Eine kritische Sicherheitslücke in der Headless-CMS-Software TinaCMS vor Version 2.1.8 ermöglicht es Angreifern, Dateien auf den Systemen von Entwicklern zu lesen, zu schreiben und zu löschen. Die Kombination aus schwacher CORS-Konfiguration und Pfadtraversal-Fehler erlaubt es böswilligen Websites, Entwickler in Drive-by-Attacken auszunutzen, wenn der TinaCMS-Entwicklungsserver aktiv ist. Diese Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar und sollte umgehend durch ein Update auf die sichere Version 2.1.8 behoben werden.