Tech Blog

OpenMQ bietet standardmäßig einen TCP-basierten Verwaltungsdienst an, der mit einem Standardadministratorkonto (admin/admin) ausgeliefert wird. Dieses Konto muss nicht zwangsläufig geändert werden, wodurch Angreifer sich als Administratoren authentifizieren und die vollen Verwaltungsfunktionen missbrauchen können. Mit einer Bewertung von 9.8 auf der CVE-Skala handelt es sich um eine kritische Sicherheitslücke, die in Produktivumgebungen dringend behoben werden sollte.

Eine schwerwiegende Sicherheitslücke in der Arbeitszeit-Software NesterSoft WorkTime ermöglicht es unauthentifizierten Angreifern, Betriebssystem-Befehle auf dem Server auszuführen. Über einen anfälligen API-Endpunkt können Schurken mit höchsten Berechtigungen auf dem System Daten abgreifen oder das ganze System übernehmen. Betroffene Administratoren sollten dringend nach einem Patch suchen und die Anwendung vorerst vom Netz nehmen.

In Microsofts Semantic Kernel Python SDK, einer semantischen Kernel-Bibliothek, wurde eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-26030 entdeckt. Die Schwachstelle betrifft die `InMemoryVectorStore`-Funktionalität und ermöglicht Angreifern die Ausführung von beliebigem Code. Betroffen sind alle Versionen vor 1.39.4. Nutzer sollten dringend auf die neueste Version aktualisieren oder als Workaround die problematische Komponente in Produktionsumgebungen meiden.

Eine Schwachstelle in Rancher Manager ermöglicht es, über selbst-signierte CA-Zertifikate und die Verwendung des -skip-verify-Flags beim Rancher CLI-Login ohne --cacert-Flag, an gespeicherte CA-Zertifikate zu gelangen. Angreifer könnten so Zugriff auf sensible Daten oder gar Remotecode-Ausführung erlangen. Bis ein Patch vorliegt, sollten Administratoren den Einsatz von selbst-signierten Zertifikaten vermeiden und stattdessen vertrauenswürdige CA-Zertifikate verwenden.

Eine kritische Sicherheitslücke im "All-in-One Microsoft 365 & Entra ID / Azure AD SSO Login"-Plugin für WordPress ermöglicht es unauthentifizierten Angreifern, sich als andere Nutzer, einschließlich Administratoren, anzumelden. Betroffen sind alle Versionen bis einschließlich 2.2.5. Ein Patch ist erforderlich, um diese Schwachstelle zu schließen.

Eine Sicherheitslücke in der WindowInfo.cpp-Komponente ermöglicht Angreifern, Nutzer durch Tapjacking/Overlay-Attacken dazu zu bringen, unbeabsichtigt Berechtigungen zu erteilen. Dies kann zu einer lokalen Eskalation der Rechte führen, ohne dass weitere Ausführungsrechte erforderlich sind. Eine Interaktion des Nutzers ist für die Ausnutzung der Schwachstelle nicht notwendig.

Das Simple Food Order System v1.0 ist von einer kritischen SQL-Injection-Schwachstelle in der Datei /food/routers/cancel-order.php betroffen. Angreifer können damit potenziell Daten auslesen oder sogar die Kontrolle über den Server erlangen. Ein Patch ist dringend empfohlen, bis dahin sollte die betroffene Komponente nicht öffentlich zugänglich sein.

Die Version 1.0 des "Simple Food Order System" ist anfällig für eine kritische SQL-Injection-Schwachstelle in der Datei "/food/view-ticket-admin.php". Angreifer können diese Lücke ausnutzen, um beliebigen SQL-Code auf dem Server auszuführen. Betreiber sollten dringend ein Update auf eine neuere, sicherere Version des Systems installieren, sobald dieses verfügbar ist.

Das Simple Food Order System v1.0 ist anfällig für eine kritische SQL-Injection-Schwachstelle in der Datei "/food/view-ticket.php". Angreifer können diese Lücke ausnutzen, um unbefugten Zugriff auf die Datenbank zu erlangen. Ein Patch ist dringend erforderlich, um die Sicherheit des Systems wiederherzustellen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-26711, CVE-2026-26710).

Eine kritische SQL-Injection-Schwachstelle in der Personalsoftware "sourcecodester Personnel Property Equipment System v1.0" ermöglicht es Angreifern, beliebigen SQL-Code auszuführen. Die Lücke betrifft die Datei "/ppes/admin/advance_search.php" und hat einen Schweregrad von 9.8. Administratoren sollten das System umgehend aktualisieren, sobald ein Patch verfügbar ist.