Tech Blog

Eine Schwachstelle in dem PHP-Framework "Vango" ermöglicht es Angreifern, lokal gespeicherte Dateien einzubinden. Dies kann zu einer Remote-Code-Ausführung führen. Betroffen sind alle Versionen bis einschließlich 1.3.3. Ein Patch ist bislang nicht verfügbar, Admins sollten das Framework umgehend aktualisieren oder deaktivieren, bis eine Lösung vorliegt.

Eine Schwachstelle im WordPress-Plugin "Nelio AB Testing" erlaubt es Angreifern, willkürlichen Code auf betroffenen Systemen auszuführen (CVE-2025-67944). Das Plugin ist von Version n/a bis einschließlich 8.1.8 betroffen. Nutzer sollten das Plugin umgehend auf die neueste, gepatcht Version aktualisieren, um sich vor dieser kritischen Sicherheitslücke zu schützen.

Eine kritische SQL-Injection-Schwachstelle in der MailerLite-WooCommerce-Integration ermöglicht es Angreifern, beliebigen SQL-Code auszuführen. Das betrifft Versionen von n/a bis einschließlich 3.1.2. Admins sollten dringend auf die neueste Version updaten, um die Sicherheitslücke zu schließen.

In der Version 4.13 des Easy CD & DVD Cover Creators findet sich eine Pufferüberlauf-Schwachstelle im Seriennummerfeld. Angreifer können damit eine 6000-Byte-Payload einspielen, die zum Absturz der Anwendung führt. Diese Denial-of-Service-Lücke kann die normale Nutzung der Software empfindlich stören.

Eine Sicherheitslücke in der Version 4.1.1 des Knockpy-Tools ermöglicht Angreifern das Einschleusen schädlicher Formeln in CSV-Berichten. Durch Manipulation der Server-Antwort-Header können Schadsoftware-Codes in die Tabellen eingebettet werden, die beim Öffnen der Datei ausgeführt werden. Dies stellt ein erhebliches Risiko für Nutzer dar, die die CSV-Dateien ahnungslos öffnen.

In der Version 1.0 des Content-Management-Systems Victor CMS existiert eine kritische Sicherheitslücke, die es authentifizierten Nutzern ermöglicht, potenziell schädliche PHP-Dateien über die Profil-Bild-Upload-Funktion hochzuladen. Dadurch können Angreifer eine PHP-Shell im Verzeichnis "/img" platzieren und so beliebige Systembefehle ausführen. Das stellt eine ernsthafte Bedrohung für die Integrität und Sicherheit des gesamten Systems dar.

Eine Sicherheitslücke in der Version 0.9.8-26 von VestaCP ermöglicht Angreifern, über unzureichende Überprüfung von Sitzungstoken auf Nutzerkonten zuzugreifen, ohne die erforderlichen Administratorrechte zu besitzen. Dies kann zu einem Sicherheitscompromittierung betroffener Systeme führen.

Die Schwachstelle CVE-2020-36951 in der Version 0.1.0 des Phpscript-sgh erlaubt Angreifern, durch manipulierte 'id'-Parameter in der Admin-Oberfläche zeitbasierte SQL-Injection durchzuführen. Dadurch können sensible Daten aus der Datenbank extrahiert werden. Das stellt ein erhebliches Sicherheitsrisiko dar.

Eine kritische Sicherheitslücke in Gila CMS vor Version 2.0.0 ermöglicht es unauthentifizierten Angreifern, durch manipulierte Anfragen an den Admin-Endpunkt beliebigen Schadcode auszuführen. Die Schwachstelle basiert auf einer Schwachstelle in der shell_exec()-Funktion und stellt ein ernsthaftes Risiko für betroffene Installationen dar.

Das Dirsearch-Tool von Maurosoria ist von einer kritischen CSV-Injection-Schwachstelle betroffen (CVE-2021-47901). Angreifer können damit die Ausgabe der generierten CSV-Berichte manipulieren und so die Integrität und Vertraulichkeit der Daten gefährden. Ein Patch ist erforderlich, um diese Sicherheitslücke zu schließen.