Tech Blog

Versionen von OpenClaw vor 2026.2.12 verwenden einen nicht zeitkonstanten Stringvergleich für die Validierung von Hook-Tokens. Angreifer können über Zeitanalysen mehrerer Anfragen an den Hook-Endpunkt nach und nach den Authentifizierungs-Token extrahieren. Dies ermöglicht Remote-Attacken mit Netzwerkzugriff auf den Hook-Endpunkt.

Eine kritische Sicherheitslücke in der Telegram-Webhook-Funktion von OpenClaw-Versionen vor 2026.2.2 ermöglicht es Angreifern, Telegram-Updates zu fälschen und privilegierte Bot-Befehle auszuführen. Die Schwachstelle entsteht durch eine fehlende Überprüfung der Webhook-Geheimnisse, wodurch nicht authentifizierte HTTP-POST-Anfragen an den Webhook-Endpunkt möglich sind. Admins sollten dringend auf die aktuelle Version von OpenClaw aktualisieren, um sich vor dieser Lücke zu schützen.

In der Beta-Version 1.5.2-3 des ZimaOS-Betriebssystems lässt sich die Zugriffskontrolle für interne Systemdateien umgehen. Durch Manipulation der API-Aufrufe können Nutzer wichtige Dateien und Ordner löschen, obwohl dies über die Benutzeroberfläche nicht möglich ist. Die mangelnde Validierung der Eingaben auf der Serverseite ermöglicht diesen Angriff mit einer Bewertung von 8.6 auf der CVE-Skala. Aktuell ist kein offizieller Patch verfügbar.

Versionen von OpenClaw vor 2026.2.14 enthalten eine Sicherheitslücke im Gateway, die es Angreifern mit Zugriff auf die Gateway-Konfiguration ermöglicht, beliebigen Code auszuführen. Die Schwachstelle betrifft die unzureichende Überprüfung von Modulpfaden, die an die dynamische Import()-Funktion übergeben werden. Admins sollten dringend auf die neueste Version von OpenClaw aktualisieren, um diese kritische Lücke zu schließen.

In den NLTK-Versionen ≤3.9.2 existiert eine Sicherheitslücke, die es Angreifern ermöglicht, willkürlichen Java-Code auszuführen. Das Problem liegt in der unsicheren Einbindung externer JAR-Dateien durch den StanfordSegmenter-Modul. Durch manipulierte Eingaben oder Abhängigkeiten können Angreifer bösartigen Code einschleusen und so die Kontrolle über das betroffene System erlangen. Benutzer sollten dringend auf die neueste NLTK-Version aktualisieren, um sich vor dieser kritischen Schwachstelle zu schützen.

In der Open-Source-Python-Bibliothek Mesa, die für Agent-basierte Modellierung und Simulation komplexer Systeme verwendet wird, wurde eine kritische Schwachstelle (CVE-2026-29075) entdeckt. Durch das Auschecken von nicht vertrauenswürdigem Code in der benchmarks.yml-Workflow-Datei kann es zu Codeausführung mit erhöhten Rechten auf dem Runner kommen. Das Problem wurde mittlerweile durch den Commit c35b8cd behoben.

Eine kritische Schwachstelle in der Call Data Record-Komponente von FreePBX, einer beliebten Open-Source-IP-PBX-Lösung, ermöglicht SQL-Injektion. Das Problem betrifft Versionen vor 16.0.49 und 17.0.7 und wurde mittlerweile durch Patches behoben. Admins sollten dringend auf die aktuelle Version aktualisieren, um Angreifer von ihren Systemen fernzuhalten.

In der JavaScript-Bibliothek "Locutus" wurde vor Version 3.0.0 eine kritische Sicherheitslücke entdeckt, die eine Remote Code Execution (RCE) ermöglichte. Die Schwachstelle lag in der Implementierung der "call_user_func_array"-Funktion, die unsachgemäß Callback-Arrays auswertete und so Schadcode injizieren ließ. Der Patch in Version 3.0.0 behebt dieses Problem.

Vor den Versionen 16.0.10 und 17.0.5 des Open-Source-IP-PBX-Systems FreePBX enthielt das Logfiles-Modul mehrere SQL-Injection-Schwachstellen. Angreifer mit Zugriff auf die Administrationsoberfläche konnten diese ausnutzen, um beliebigen SQL-Code auszuführen. Die Lücke wurde in den genannten Versionen geschlossen.

Der RustDesk-Client ist von einer schwerwiegenden Autorisierungsschwachstelle betroffen, die Angreifern das Manipulieren von Anwendungs-API-Nachrichten via Man-in-the-Middle-Attacken ermöglicht. Das Problem betrifft sowohl die URI-Schema-Behandlung als auch die Konfigurationsimport-Module auf Windows, macOS, Linux, iOS und Android. Angreifer können die Schwachstelle in der importConfig()-Funktion ausnutzen, um unbefugten Zugriff und Datentampering zu erlangen.