Tech Blog

Eine kritische Sicherheitslücke (CVE-2025-11158) in Hitachi Pentaho Data Integration & Analytics ermöglicht Angreifern die Ausführung von beliebigem Schadcode auf betroffenen Systemen. Das Problem betrifft Versionen vor 10.2.0.6 und resultiert aus unzureichenden Restriktionen für Groovy-Skripte in neuen PRPT-Berichten. Betroffen sind Unternehmen, die diese Pentaho-Software einsetzen. Ein Patch ist erforderlich, um die Systeme vor Kompromittierung zu schützen.

Eine schwerwiegende Sicherheitslücke im SiYuan-Notizmanagement-System ermöglicht es Angreifern, beliebige Dateien vom Server-Dateisystem auszulesen, darunter sensible Konfigurationsdateien mit Zugangscodes und API-Tokens. Dies kann zu unbefugtem Administratorzugriff auf die SiYuan-Kernel-API und unter Umständen sogar zu Remote-Code-Ausführung führen.

Sicherheitsforscher haben schwerwiegende Schwachstellen mit CVSS-Score 9.6 in der IT-Plattform Budibase entdeckt. Die Lücken ermöglichen Angreifern den kompletten Zugriff auf Produktionsumgebungen und Geheimnisse. Betreiber sollten dringend Patches installieren, um ihre Systeme vor Kompromittierung zu schützen.

In SAP NetWeaver Enterprise Portal Administration ermöglicht eine kritische Sicherheitslücke (CVE-2026-27685) privilegierten Nutzern, schädlichen Inhalt hochzuladen. Dieser kann bei der Deserialisierung zu einem hohen Risiko für Vertraulichkeit, Integrität und Verfügbarkeit des Systems führen. Admins sollten dringend Patches installieren, um diese Schwachstelle zu schließen.

Eine kritische Sicherheitslücke in Ivanti Endpoint Manager vor Version 2024 SU5 ermöglicht es einem unauthentifizierten Angreifer, gespeicherte Anmeldedaten abzugreifen. Systemadministratoren sollten dringend ein Sicherheitsupdate installieren, um ihre Systeme vor diesem Datenleck zu schützen.

Eine schwerwiegende Sicherheitslücke in SolarWinds Web Help Desk ermöglicht Angreifern die Ausführung von beliebigem Code auf betroffenen Systemen. Die Schwachstelle ist ein Bypass eines zuvor bekannten Problems und kann ohne Authentifizierung ausgenutzt werden. Administratoren müssen dringend den bereitgestellten Patch installieren, um ihre Systeme vor Kompromittierung zu schützen.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2025-41709 und einer Bewertung von 9.8 erlaubt Angreifern die Ausführung von Code auf betroffenen Systemen mit [VENDOR] [PRODUCT] [VERSION] auf [PLATFORMS]. Administratoren sollten dringend nach Patches oder Workarounds Ausschau halten, um ihre Systeme vor Kompromittierung zu schützen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-41709, CVE-2026-25201).

In Ingress-Nginx wurde eine Sicherheitslücke entdeckt, bei der die `nginx.ingress.kubernetes.io/rewrite-target`-Annotation missbraucht werden kann, um willkürlichen Code im Kontext des Ingress-Nginx-Controllers auszuführen. Dadurch können auch Geheimnisse (Secrets) preisgegeben werden, auf die der Controller Zugriff hat. Ein Patch ist erforderlich, um diese kritische Schwachstelle mit der CVE-ID CVE-2026-3288 zu beheben.

Eine kritische SQL-Injektions-Schwachstelle (CVE-2026-3843) im Konfigurationsmodul des Nefteprodukttekhnika BUK TS-G Gas Station Automation System 2.9.1 auf Linux ermöglicht es Angreifern, beliebige SQL-Befehle auszuführen und möglicherweise Remotecode-Ausführung zu erlangen. Admins sollten umgehend ein Sicherheitsupdate einspielen, um ihre Systeme vor dieser Gefahr zu schützen.

In der openDCIM-Version 23.04 wurde eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-28517 entdeckt. Die Schwachstelle ermöglicht es Angreifern, durch manipulierte Eingaben in der Konfigurationsdatei 'fac_Config.dot' beliebigen Schadcode auf dem Webserver auszuführen. Administratoren sollten dringend auf die neueste Version von openDCIM aktualisieren, um diese Anfälligkeit zu beseitigen.