Tech Blog

Das WordPress-Plugin "User Profile Builder" vor Version 3.15.2 weist eine gravierende Sicherheitslücke auf. Unauthentifizierte Angreifer können mit wenigen Anfragen das Passwort beliebiger Nutzer, inklusive des Administrators, zurücksetzen und so Zugriff auf deren Konten erlangen. Administratoren sollten das Plugin umgehend auf die neueste Version aktualisieren, um diese kritische Schwachstelle zu schließen.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-25202 erlaubt es Angreifern, sich mit einem fest eingebauten Datenbank-Zugang in MagicINFO 9 Server einzuloggen und die Datenbank zu manipulieren. Betroffen sind alle Versionen vor 21.1090.1. Administratoren sollten dringend auf die neueste Version aktualisieren, um dieses 9.8-Leck zu schließen.

In RaspAP-Webgui-Versionen vor 3.3.6 existiert eine Schwachstelle, die eine Ausführung beliebiger Betriebssystemkommandos durch angemeldete Nutzer ermöglicht. Dieses Einfallstor für Schadcode sollte umgehend durch ein Sicherheitsupdate geschlossen werden.

In Thread wurde eine Schwachstelle entdeckt, die eine unkontrollierte Schreiboperation außerhalb der Grenzen ermöglicht. Dies kann zu einer Eskalation der Rechte führen, ohne dass zusätzliche Ausführungsrechte erforderlich sind. Eine Interaktion des Nutzers ist für die Ausnutzung nicht notwendig. Ein Patch ist unter der ID WCNCR00465153 und der Issue-ID MSV-4927 verfügbar.

Eine Heap-Puffer-Überlauf-Lücke in der WLAN-Implementierung ermöglicht Angreifern in der Nähe, Privilegien-Eskalation ohne zusätzliche Berechtigungen. Ein Patch ist verfügbar (WCNCR00461651, MSV-4758), aber wer hat schon Bock, den aufzuspielen?

Eine Schwachstelle in der `lollms_generation_events.py`-Komponente von parisneo/lollms Version 5.9.0 ermöglicht unauthentifizierte Zugriffe auf sensible Socket.IO-Events. Fehlende Authentifizierungs- und Autorisierungsprüfungen erlauben es unauthentifizierten Clients, ressourcenintensive oder zustandsändernde Operationen auszuführen, was zu Denial-of-Service, Zustandskorruption und Wettlaufsituationen führen kann. Zusätzlich gefährdet die Verwendung globaler Flags für das Zustandsmanagement in einer Multi-Client-Umgebung die Verfügbarkeit und Integrität des Dienstes.

Eine Sicherheitslücke in der Version 3.46.0.1 des h2o-ai/h2o-3-Frameworks erlaubt Angreifern das Schreiben beliebiger Daten in Dateien auf dem Server. Das Ausnutzen des "/3/Parse"-Endpunkts ermöglicht es, bösartigen Code als Dateiheader einzuschleusen, der dann über "/3/Frames/framename/export" exportiert wird. Dadurch können Angreifer kritische Systemdateien wie SSH-Schlüssel oder Skripte überschreiben und so die vollständige Kontrolle über das System erlangen.

In der Version 1.2.2 des KI-Tools Lunary existiert eine Sicherheitslücke, die es Nutzern mit "Viewer"-Rolle ermöglicht, die Konten anderer Nutzer zu kapern. Durch das Abfangen eines Passwort-Reset-Tokens können sie sich in fremde Accounts einloggen und die Kontrolle übernehmen. Das Problem resultiert aus einem zu großen Angriffssurface, das Nutzer mit geringeren Rechten zu Privilege-Eskalation ausnutzen können.

Eine unkritische Schwachstelle mit einer Bewertung von 9.8 ermöglicht es Angreifern, ohne Authentifizierung vollständigen Zugriff auf betroffene Geräte zu erlangen. Diese Geräte werden standardmäßig ohne Passwort ausgeliefert, und das Setzen eines Passworts ist nicht zwingend erforderlich. Administratoren sollten umgehend Maßnahmen ergreifen, um die Standardeinstellungen zu ändern und ein sicheres Passwort zu vergeben.

Ein unauthentizierter Angreifer kann über eine bestehende Session-ID eines angemeldeten Nutzers vollen Zugriff auf das Gerät erlangen, sofern die Ethernet-Konfiguration aktiviert ist. Die Schwachstelle mit hoher Schwere (CVSS 8.8) sollte umgehend behoben werden.