Tech Blog

Die Multimodal-Generation-Komponente von SGLang ist anfällig für eine unauthentifizierte Remotecodeausführung über den ZMQ-Broker. Dabei werden unkontrollierte Daten mithilfe von pickle.loads() deserialisiert, was Angreifern die Ausführung beliebigen Codes ermöglicht. Administratoren sollten umgehend ein Sicherheitsupdate einspielen, um ihre Systeme vor dieser kritischen Sicherheitslücke zu schützen.

Eine Sicherheitslücke in Pingoras Standardimplementierung des HTTP-Cacheschlüssels ermöglicht Cachepoisoning-Attacken. Betroffen sind Pingora-Nutzer, die auf die Standardeinstellung vertrauen. Angreifer könnten so Daten zwischen Mandanten durchsickern lassen oder Nutzer mit schädlichen Inhalten versorgen. Der Patch in Version 0.8.0 behebt das Problem, ältere Nutzer müssen eigene Cacheschlüssel implementieren.

Eine kritische Sicherheitslücke in der Content-Management-Software Winter CMS ermöglichte es Nutzern mit Backend-Zugriff, ihre Berechtigungen im System zu erhöhen. Angreifer mit Zugang zum Backend konnten diese Schwachstelle ausnutzen, um ihre Kontrolle über das System auszuweiten. Das Problem wurde in den Versionen 1.0.477, 1.1.12 und 1.2.12 behoben.

Eine kritische SQL-Injection-Schwachstelle in der 202CMS v10 beta-Version ermöglicht es unauthentifizierten Angreifern, Datenbankanfragen zu manipulieren und sensible Informationen auszulesen oder sogar den Datenbankinhalt zu ändern. Dieses Leck sollte schnell geschlossen werden, bevor skrupellose Zeitgenossen die Sicherheit der betroffenen Systeme kompromittieren.

Die Beta-Version des Content-Management-Systems 202CMS ist von einer schwerwiegenden SQL-Injection-Sicherheitslücke betroffen. Unauthentifizierte Angreifer können durch manipulierte Anfragen an den Parameter "log_user" vertrauliche Daten aus der Datenbank auslesen. Die Schwachstelle hat einen CVSS-Wert von 8.2 und sollte dringend behoben werden, sobald ein Patch verfügbar ist.

Netartmedia PHP Mall 4.1 weist mehrere schwerwiegende SQL-Injection-Schwachstellen auf, die es unauthentifizierten Angreifern ermöglichen, Datenbankabfragen zu manipulieren und sensible Informationen wie Nutzerdaten abzugreifen. Betreiber sollten umgehend einen Patch aufspielen, um das System vor Kompromittierung zu schützen.

Acronis Cyber Protect 17 ist von einer schwerwiegenden Sicherheitslücke mit der CVE-2026-28710 betroffen. Diese ermöglicht Angreifern den Zugriff auf vertrauliche Informationen und deren Manipulation durch unzureichende Authentifizierung. Betroffen sind Linux- und Windows-Versionen der Software vor Build 41186. Administratoren sollten dringend ein Sicherheitsupdate installieren, um ihre Systeme vor Kompromittierung zu schützen.

In der KI-Assistenz-Software ZeptoClaw gab es bis Version 0.7.6 eine Sicherheitslücke, die es Angreifern ermöglichte, Nachrichten unter fremder Identität zu versenden. Da die Authentifizierung standardmäßig deaktiviert war, konnten Schurken mit Zugriff auf den Webhook-Endpunkt beliebige Absender und Chat-IDs fälschen, was zu Identitätsdiebstahl und potenziellem Missbrauch führte. Zum Glück wurde die Schwachstelle mit Version 0.7.6 behoben.

Eine schwerwiegende Sicherheitslücke in der Verwaltungskonsole des GetSimple CMS ermöglicht es Angreifern, mit Administratorrechten beliebigen PHP-Code auszuführen. Die Lücke betrifft die Version 3.3.22 des CMS-Systems und das Plugin "massiveAdmin" in Version 6.0.3. Ein Patch ist dringend erforderlich, um Systeme vor Kompromittierung zu schützen.

Die Jellyfin iOS-App hat eine Sicherheitslücke in ihrem GitHub Actions-Workflow, die beliebigen Schadcode über Pull-Requests aus Fork-Repositories ausführen lässt. Die erhöhten Berechtigungen dieses Workflows bergen erhebliche Risiken wie Übernahme des Repositorys, Exfiltration sensibler Daten und mögliche Supply-Chain-Angriffe auf den App Store. Diese kritische Schwachstelle mit der CVE-ID CVE-2026-31852 gefährdet die Integrität der gesamten Jellyfin-Organisation.