Tech Blog

Eine kritische Sicherheitslücke in Chamilo Learning Management System vor Version 1.11.28 ermöglicht es Angreifern, beliebigen Schadcode remote auszuführen. Das Problem liegt in der unzureichenden Filterung von SOAP-Anfragen. Der Hersteller hat das Problem in Version 1.11.28 behoben, Anwender sollten schnell auf die aktuelle Version aktualisieren.

Forscher haben eine schwerwiegende Sicherheitslücke in Google Chrome entdeckt. Über diese Lücke konnten Angreifer mit böswilligen Erweiterungen ihre Rechte auf dem System ausweiten und auf lokale Dateien zugreifen. Google hat den Fehler im Januar 2026 behoben. Sysadmins sollten ihre Chrome-Installationen auf den aktuellen Stand bringen, um sich vor dieser Schwachstelle zu schützen.

Eine Sicherheitslücke in der MongoDB-Schnittstelle des SimStudio-Tools vor Version 0.5.74 ermöglicht es Angreifern, ohne Authentifizierung oder Hostbeschränkungen beliebige Verbindungsparameter zu übermitteln. Dies kann ausgenutzt werden, um auf jede zugängliche MongoDB-Instanz zuzugreifen und so kritische Daten unbefugt zu lesen, zu ändern oder zu löschen.

Laut Sicherheitsforschern von Akamai wurde die hochgefährliche Sicherheitslücke CVE-2026-21513 in Microsofts MSHTML-Framework möglicherweise von der russischen Hackergruppe APT28 ausgenutzt, bevor der Patch im Februar 2026 erschien. Die Schwachstelle ermöglicht das Umgehen von Sicherheitsmechanismen mit einer Bewertung von 8,8 auf der CVSS-Skala. Sicherheitsadministratoren sollten den Patch zeitnah einspielen, um Systeme vor Angriffen zu schützen.

Eine schwerwiegende Schwachstelle (CVE-2026-27728, CVSS 10) in der OneUptime Probe Software ermöglicht Angreifern die Ausführung beliebiger Befehle auf dem betroffenen Server. Dadurch können Systeme komplett übernommen werden. Betroffen sind alle Versionen der OneUptime Probe. Bis ein Patch vorliegt, sollte die Software unverzüglich vom Netz genommen werden.

Forscher haben eine kritische SSRF-Sicherheitslücke (Server-Side Request Forgery) mit Schweregrad 9.2 in Angular SSR (Server-Side Rendering) entdeckt. Dadurch können Angreifer interne Netzwerke ausspionieren. Eine Patch-Veröffentlichung durch die Entwickler ist erforderlich, um diese Schwachstelle zu schließen.

Eine kritische Sicherheitslücke mit CVE-2026-3400 wurde in Tenda AC15 Routern bis zur Version 15.13.07.13 entdeckt. Ein Stack-Overflow in der Funktion /goform/TextEditingConversion kann von Angreifern ausgenutzt werden, um die Kontrolle über das Gerät zu erlangen. Ein öffentlicher Exploit ist bereits verfügbar, sodass Admins dringend ein Firmware-Update einspielen sollten. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-3400, CVE-2026-3410, CVE-2026-3413, CVE-2026-3274).

Das U-Office Force Plugin, entwickelt von e-Excellence, weist eine kritische Sicherheitslücke durch unsichere Deserialisierung auf. Unbefugte Angreifer können damit beliebigen Code auf dem Server ausführen. Betroffene Admins sollten umgehend das Update auf die Herstellerpatch-Version installieren, um ihre Systeme vor Missbrauch zu schützen.

In einem WLAN-STA-Treiber gibt es eine mögliche Privileg-Eskalation aufgrund einer fehlenden Bereichsüberprüfung. Dies könnte zu einer lokalen Eskalation der Rechte führen, wenn ein böswilliger Akteur bereits Systemrechte erlangt hat. Eine Benutzerinteraktion ist für die Ausnutzung nicht erforderlich. Ein Patch ist unter der ID WCNCR00473802 (Issue MSV-5970) verfügbar.

Die Version 1.15.2 und frühere Versionen des CleverTap Web SDK sind von einer DOM-basierten Cross-Site-Scripting-Schwachstelle (XSS) betroffen. Angreifer können diese Lücke im Visual Builder Modul ausnutzen, um bösartigen Code einzuschleusen. Das SDK verwendet eine fehlerhafte Überprüfung der Origin-URL, die umgangen werden kann. Betroffene Nutzer sollten dringend auf die neueste Version des SDK aktualisieren, um sich vor dieser kritischen Sicherheitslücke zu schützen.