Tech Blog

Eine kritische Sicherheitslücke in den WordPress-Plugins "Database for Contact Form 7", "WPforms" und "Elementor forms" bis Version 1.4.7 ermöglicht es Angreifern, ohne Authentifizierung PHP-Objekte einzuschleusen. Dies kann zu Datenverlust, Dateientfernung oder sogar Codeausführung führen, sofern eine weitere Schwachstelle in einem installierten Plugin oder Theme vorhanden ist. Betreiber sollten dringend auf die neueste Version der betroffenen Plugins aktualisieren.

Cisco hat bekannt gegeben, dass eine kritische Schwachstelle (CVE-2026-20122) im Catalyst SD-WAN Manager ausgenutzt wird. Die Lücke ermöglicht es einem authentifizierten Angreifer, willkürliche Dateien auf dem System zu überschreiben. Administratoren sollten dringend das bereitgestellte Sicherheitsupdate installieren, um ihre Systeme vor Missbrauch zu schützen.

Eine Schwachstelle im Authentifizierungsmodul von Huawei-Geräten ermöglicht es Angreifern, die Zugangskontrolle zu umgehen. Dadurch können sie auf sensible Daten zugreifen und unbefugte Aktionen durchführen. Betroffene Nutzer von Huawei-Smartphones, -Laptops und -IoT-Geräten sollten umgehend Sicherheitsupdates installieren, um das Risiko zu mindern.

Forscher haben eine 30 Jahre alte Sicherheitslücke in der weit verbreiteten Grafikbibliothek libpng entdeckt. Die Schwachstelle könnte zu Absturz, Informationslecks oder sogar Remotecodeausführung führen. Obwohl schwer auszunutzen, müssen zahlreiche Linux-Distributionen, Desktop-Anwendungen und Java-Laufzeitumgebungen dringend aktualisiert werden.

Forscher entdeckten eine kritische Sicherheitslücke in der JwtAuthenticator-Komponente der Bibliothek pac4j-jwt. Durch Ausnutzen dieser Schwachstelle können Angreifer gefälschte Authentifizierungs-Tokens erstellen und sich somit als beliebige Nutzer, inklusive Administratoren, ausgeben. Die Lücke betrifft Versionen bis 4.5.8, 5.7.8 und 6.3.2. Entwickler sollten dringend auf die neuesten, korrigierten Versionen aktualisieren.

Google hat in Chrome 3 kritische und 7 hochriskante Sicherheitslücken geschlossen, darunter die Lücke CVE-2026-2441, die bereits aktiv ausgenutzt wird. Betroffen sind alle Chrome-Nutzer, die ihre Browser nicht zeitnah aktualisieren. Um weitere Angriffe zu verhindern, sollten Admins und Anwender das Update umgehend einspielen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-2441, CVE-2026-3540).

Forscher haben eine kritische Sicherheitslücke mit CVSS-Score 10.0 in der Open-Source-Software FreeScout entdeckt. Die Schwachstelle ermöglicht Angreifern die Ausführung von beliebigem Schadcode ohne jegliche Authentifizierung. Das ist mal wieder ein Klassiker - warum können Entwickler nicht einfach grundlegende Sicherheitsmaßnahmen einbauen? Nun gut, immerhin gibt es einen Proof-of-Concept, also dürfte ein Patch hoffentlich bald folgen.

Eine kritische Sicherheitslücke mit der Kennung CVE-2026-1678 wurde in der Funktion dns_unpack_name() des DNS-Resolvers entdeckt. Die Schwachstelle ermöglicht es Angreifern, durch manipulierte DNS-Antworten eine Out-of-Bounds-Schreiboperation auszuführen, wenn Assertions deaktiviert sind. Dies kann zu schwerwiegenden Folgen wie Systemabstürzen oder sogar Remotecodeausführung führen. Administratoren sollten umgehend Patches anwenden, um ihre Systeme vor dieser Bedrohung zu schützen.

Zwei Sicherheitslücken (CVE-2026-20039, CVE-2026-20082) in Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software ermöglichen es Angreifern, eine Denial-of-Service-Attacke auf betroffene Geräte durchzuführen. Die Schwachstellen resultieren aus mangelhaftem Speichermanagement des VPN-Webservers. Cisco hat Updates veröffentlicht, um diese Probleme zu beheben. Es gibt keine Workarounds, die die Lücken schließen.

Das Membership Plugin – Restrict Content für WordPress ist in Versionen bis 3.2.20 von einer Sicherheitslücke betroffen, die Angreifern ohne Authentifizierung den Zugriff auf privilegierte WordPress-Rollen wie Administrator ermöglicht. Die Schwachstelle resultiert aus fehlender Validierung der Mitgliedschafts-Level und kann teilweise durch ein Sicherheitsupdate in Version 3.2.18 behoben werden.