Tech Blog

Die Tar-Bibliothek für Node.js, node-tar, hat eine kritische Sicherheitslücke in Versionen vor 7.5.7. Angreifer können eine manipulierte Tar-Datei erstellen, die Pfadprüfungen umgeht und beliebige Dateien außerhalb des Extraktionsverzeichnisses anlegt. Das ermöglicht Dateisystem-Übergriffe. Mit der Version 7.5.7 wurde das Problem behoben.

Eine kritische Sicherheitslücke in der Dokploy-Plattform ermöglicht Angreifern mit Zugriff die Ausführung beliebiger Befehle auf dem Host-Server. Die Schwachstelle betrifft WebSocket-Endpunkte, die unsanitierte Eingabeparameter direkt in Shellbefehle übernehmen. Betroffen sind Versionen vor 0.26.6, die Entwickler haben das Problem in der aktuellen Version behoben.

Die Plattform als Service (PaaS) Dokploy enthält in Versionen vor 0.26.6 eine schwerwiegende Sicherheitslücke. Ein Hardcoded-Passwort in einem Installationsskript ermöglicht den Zugriff auf die Datenbank fast aller Dokploy-Installationen. Angreifer können so die Systeme kompromittieren. Nutzer sollten umgehend auf die Version 0.26.6 oder höher aktualisieren, um die Lücke zu schließen.

Das Open-Source-CMS DotNetNuke (früher DNN) wies vor Version 9.13.10 und 10.2.0 eine kritische Sicherheitslücke auf. Das Modul-Titel-Feld konnte Skripte enthalten, die in bestimmten Szenarien ausgeführt wurden. Die Versionen 9.13.10 und 10.2.0 beheben dieses Problem. Systemadministratoren sollten DotNetNuke-Installationen zeitnah auf den neuesten Stand bringen.

In älteren Versionen von SandboxJS, einer JavaScript-Sandbox-Bibliothek, wurde die `AsyncFunction`-Konstruktion nicht korrekt isoliert. Dadurch konnten Angreifer die Sandbox umgehen und Remote-Code-Execution auf dem Zielsystem ausführen. Glücklicherweise wurde die Lücke in Version 0.8.26 behoben. Sysadmins sollten dringend auf diese Patchversion aktualisieren, um ihre Systeme vor dieser kritischen Sicherheitslücke zu schützen.

In Grafana Enterprise, einer Open-Source-Plattform für Monitoring und Beobachtbarkeit, wurde eine kritische Sicherheitslücke (CVE-2022-24812) entdeckt. Bei aktivierter feingranularer Zugangskontrolle können Angreifer durch geschickte API-Schlüssel-Verwendung ihre Berechtigungen unrechtmäßig ausweiten. Der Patch ist dringend empfohlen, alternativ kann die Deaktivierung der feingranularen Zugangskontrolle das Problem umgehen.

In der SolarWinds Web Help Desk-Software wurde eine kritische Sicherheitslücke entdeckt, die eine unautorisierte Remotecodeausführung ermöglicht. Angreifer können dadurch ohne Authentifizierung Befehle auf dem betroffenen System ausführen. Ein Patch ist dringend erforderlich, um diese Schwachstelle zu schließen und Systeme vor Missbrauch zu schützen. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-40553, CVE-2025-40552, CVE-2025-40536).

Eine kritische Sicherheitslücke im WordPress-Plugin "Snow Monkey Forms" ermöglicht es unbefugten Angreifern, willkürlich Dateien auf dem Server zu löschen. Dies kann zu Remote-Code-Execution führen, wenn beispielsweise die wp-config.php-Datei gelöscht wird. Betroffen sind alle Versionen bis einschließlich 12.0.3. Ein Patch ist dringend erforderlich, um die Sicherheit der WordPress-Installationen zu gewährleisten.

Die Sicherheitslücke CVE-2021-47902 mit einem Schweregrad von 8.2 "Hoch" betrifft das Testa Online Test Management System 3.4.7. Angreifer können durch manipulierte Suchanfragen über den 'q'-Parameter SQL-Injections durchführen und so möglicherweise auf sensible Nutzer- oder Systemdaten zugreifen. Ein Patch ist verfügbar, den Admins zeitnah einspielen sollten, um ihre Systeme zu schützen.

Die Schwachstelle CVE-2025-69038 in der Hyori-Version <= 1.3.6 des WordPress-Plugins "goalthemes Hyori" ermöglicht lokale Dateieinbindung. Angreifer können damit potenziell beliebigen PHP-Code ausführen. Ein Patch ist verfügbar, Sysadmins sollten das Plugin umgehend aktualisieren.