Tech Blog

Sicherheitsforscher haben kritische Sicherheitslücken in TP-Link Tapo Überwachungskameras entdeckt. Die Schwachstellen ermöglichen es Angreifern, die Kontrolle über die Geräte zu übernehmen und Administratorkonten zu kompromittieren. Ein Firmware-Update von TP-Link behebt die Probleme. Systemadministratoren sollten die Kameras umgehend aktualisieren, um Schäden durch Angriffe zu verhindern.

In Azure MCP Server wurde eine kritische Authentifizierungslücke entdeckt (CVE-2026-32211), die es Angreifern ermöglicht, sensible Informationen über ein Netzwerk abzugreifen, ohne sich zu authentifizieren. Admins sollten dringend den offiziellen Patch installieren, um ihre Systeme vor diesem 9.1-Risiko zu schützen.

Eine kritische Sicherheitslücke (CVE-2026-27413) im WordPress-Plugin "Profile Builder Pro" ermöglicht Angreifern Blind SQL Injection. Das Plugin ist betroffen, bis Version 3.14.0. Die Schwachstelle kann für Datenbankabfragen missbraucht werden und sollte umgehend behoben werden.

Eine Sicherheitslücke mit der Kennung CVE-2026-3970 wurde in der Firmware des Tenda i3 Routers Version 1.0.0.6(2204) entdeckt. Die Schwachstelle betrifft die Funktion "formwrlSSIDget" und kann durch manipulierte Eingaben zu einem stapelbasierten Pufferüberlauf führen. Der Angriff kann aus der Ferne erfolgen, da die Schwachstelle bereits öffentlich bekannt und ein Exploit verfügbar ist. Admins sollten dringend ein Firmware-Update einspielen, um ihre Router vor Angriffen zu schützen.

Die Sicherheitslücke CVE-2025-59793 in Rocket TRUfusion Enterprise bis Version 7.10.5 ermöglicht es authentifizierten Angreifern, Dateien auf dem Dateisystem hochzuladen und dadurch potentiell Schadcode auszuführen. Der Grund dafür ist eine unzureichende Überprüfung des "jobDirectory"-Parameters, der Pfadtraversalsequenzen zulässt. Admins sollten dringend auf die neueste Version aktualisieren, um die kritische Sicherheitslücke zu schließen.

Eine hochgefährliche Schwachstelle mit CVE-2026-4976 wurde in Totolink LR350 Router entdeckt. Ein Angreifer kann durch Manipulation des SSID-Parameters einen Pufferüberlauf auslösen und damit die volle Kontrolle über das Gerät erlangen. Der Exploit ist bereits öffentlich, also Augen auf und schnell patchen, bevor das Chaos losgeht.

Versionen 7.9, 8.0 und 8.1 des MetInfo CMS weisen eine kritische Sicherheitslücke auf, die es Angreifern ohne Authentifizierung ermöglicht, willkürlichen PHP-Code auszuführen und somit die vollständige Kontrolle über den betroffenen Server zu erlangen. Diese Schwachstelle mit der CVE-ID CVE-2026-29014 ist mit einem CVSS-Score von 9.8 als "kritisch" eingestuft.

Eine Schwachstelle in der Bibliothek libinput erlaubt es lokalen Angreifern, durch speziell präparierte Lua-Bytecodes die Sicherheitsrestriktionen zu umgehen und beliebigen Code mit den gleichen Rechten wie das Programm, das libinput nutzt, auszuführen. Dies kann dazu führen, dass Tastatureingaben überwacht und an externe Standorte gesendet werden.

Vor Version 3.32.5 des Open-Source-Frameworks Budibase konnte ein authentifizierter Nutzer mit Zugriff auf den Builder einen Tabellen-, Automatisierungs-, Ansichts- oder Abfragenamen mit schädlichem HTML-Code erstellen. Öffnete ein anderer Nutzer im selben Arbeitsbereich den Command Palette, wurde der Code ausgeführt und das Sitzungscookie gestohlen - volle Kontrolle über das Konto inklusive. Ein Patch ist in Version 3.32.5 verfügbar. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-35218, CVE-2026-35214).

Eine kritische Sicherheitslücke in der Open-Source-Monitoring-Plattform OneUptime erlaubte vor Version 10.0.42 den unautorisierten Zugriff auf Benachrichtigungstests und Telefonnummernverwaltung. Dies ermöglichte den Missbrauch von SMS, Anrufen, E-Mails und WhatsApp sowie den Kauf von Telefonnummern. Die Lücke wurde in Version 10.0.42 geschlossen.