Tech Blog

Eine kritische Sicherheitslücke in der NLTK-Downloader-Komponente erlaubt Angreifern, durch manipulierte ZIP-Pakete beliebigen Code auszuführen. Die fehlende Pfadvalidierung bei der Entpackung ermöglicht es, Python-Dateien wie __init__.py einzuschleusen, die dann automatisch ausgeführt werden. Das kann zur vollständigen Systemübernahme führen. Bis ein Patch vorliegt, sollten Nutzer vorsichtig sein, was sie über den NLTK-Downloader herunterladen.

Dell Unisphere for PowerMax 10.2 enthält eine Schwachstelle, die es einem Angreifer mit geringen Rechten ermöglicht, beliebige Dateien zu löschen. Das ist nicht gerade ein Kavaliersdelikt. Admins sollten schnell auf eine aktualisierte Version umstellen, sofern ein Patch verfügbar ist. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-26360, CVE-2026-26359).

Eine schwerwiegende Schwachstelle in der Firmware des UTT HiPER 810 Routers ermöglicht es Angreifern, per Fernzugriff die volle Kontrolle über das Gerät zu erlangen. Das Problem liegt in voreingestellten, unsicheren Zugangsdaten für den Telnet-Dienst. Betroffene Administratoren sollten dringend ein Firmware-Update einspielen, um diese kritische Sicherheitslücke zu schließen.

Das CodeAstro Mitgliederverwaltungssystem 1.0 enthält eine kritische Sicherheitslücke in der delete_members.php-Datei, die es unauthentifizierten Angreifern ermöglicht, beliebige Mitgliederdatensätze über den id-Parameter zu löschen. Admins sollten dringend ein Update auf eine Version mit Patch durchführen, um ihre Mitgliederdaten vor unbefugtem Zugriff zu schützen.

In Version 1.0 des "ProjectWorlds Online Time Table Generator" erlaubt eine fehlende Authentifizierung in administrativen Skripten unter "/admin/" Remote-Angreifern, unbefugt administrative Operationen wie das Hinzufügen oder Löschen von Datensätzen durchzuführen. Betroffen sind direkte HTTP-Anfragen an die entsprechenden Endpunkte ohne gültige Sitzung.

Aufgrund einer Schwachstelle in der Velocity Template Engine können Administratoren böswilligen Code auf dem Server ausführen. Dies kann zu Fernsteuerung, Datenzugriff oder -manipulation führen. Ein Patch ist verfügbar, Nutzer sollten das System zeitnah aktualisieren.

Eine kritische Sicherheitslücke in der Molecule-Laderfunktion von Boltz 2.0.0 erlaubt Angreifern mit Zugriff auf das System die Ausführung von beliebigem Schadcode. Die Anwendung verwendet Python Pickle zum Deserialisieren von Moleküldaten ohne jegliche Validierung. Nutzer sollten dringend ein Update auf eine Nicht-Vulnerable Version installieren, bis ein Patch verfügbar ist.

Eine kritische Sicherheitslücke in der PDF-Bibliothek jsPDF ermöglicht es Angreifern, bis Version 4.2.0 beliebigen Schadcode in PDF-Dokumenten einzubinden. Durch unsanitierte Nutzereingaben können Angreifer schädliche PDF-Objekte wie JavaScript-Aktionen einschleusen, die beim Überfahren von Radio-Optionen ausgeführt werden. Ein Patch ist in Version 4.2.0 verfügbar, Anwender sollten umgehend updaten oder Nutzereingaben vor der Übergabe an die betroffenen API-Funktionen sorgfältig überprüfen.

SPIP vor Version 4.4.9 ist von einer Sicherheitslücke betroffen, die es Angreifern ermöglicht, über manipulierte serialisierte Daten in den öffentlichen Bereichen beliebige Objekte zu instanziieren und potenziell Schadcode auszuführen. Die Verwendung serialisierter Daten in den betroffenen Komponenten wurde als veraltet eingestuft und wird in SPIP 5 entfernt. Die Lücke wird vom SPIP-Sicherheitsschutz nicht abgefangen.

In MCMS 4.6.5 wurde eine kritische CSRF-Lücke entdeckt, mit der Angreifer über die Weboberfläche ms/basic/manager/save.do neue Administratorkonten erstellen können. Betreiber sollten das System schnellstmöglich auf eine neuere, gepatcht Version aktualisieren, um sich vor diesem Sicherheitsrisiko zu schützen.