Tech Blog

Das Dirsearch-Tool von Maurosoria ist von einer kritischen CSV-Injection-Schwachstelle betroffen (CVE-2021-47901). Angreifer können damit die Ausgabe der generierten CSV-Berichte manipulieren und so die Integrität und Vertraulichkeit der Daten gefährden. Ein Patch ist erforderlich, um diese Sicherheitslücke zu schließen.

Das Testa Online Test Management System version 3.4.7 weist eine kritische SQL-Injektionsschwachstelle auf. Angreifer können über den 'q'-Suchparameter beliebige SQL-Befehle ausführen und so auf sensible Daten zugreifen. Diese Lücke gefährdet die Vertraulichkeit und Integrität des Systems erheblich. Ein Patch ist dringend erforderlich, um das Risiko von Datenmissbrauch zu minimieren.

Eine kritische Schwachstelle (CVE-2025-68670) im Open-Source-RDP-Server xrdp ermöglicht Angreifern die Ausführung von Schadcode ohne Authentifizierung. Das Problem liegt in unzureichenden Pufferüberprüfungen beim Verbindungsaufbau. Obwohl eine Kompilierung mit Stack-Schutz das Risiko mindert, sollte man auf eine Aktualisierung auf Version 0.10.5 oder höher setzen, um den offiziellen Sicherheitspatch zu erhalten.

Eine Sicherheitslücke im Beckhoff Device Manager ermöglicht es Angreifern mit niedrigen Rechten, beliebigen Code auszuführen. Durch präparierte Anfragen an den Webservice oder die API kann es zu Ganzzahlüberlauf-Problemen kommen, die zu einer Codeausführung mit erhöhten Rechten führen können. Betroffen sind Systeme, auf denen der Device Manager installiert ist.

Eine schwerwiegende Sicherheitslücke (CVE-2026-24002, CVSS 9.1) in der Open-Source-Spreadsheet-Datenbank Grist-Core ermöglicht Angreifern die Ausführung von Schadcode über präparierte Kalkulationsformeln. Wer noch mit dieser alten Kiste arbeitet, sollte schnell ein Update einspielen, bevor die Script-Kiddies loslegen.

In vm2-Versionen vor 3.10.2 ermöglicht eine schwerwiegende Sicherheitslücke Angreifern die Ausführung von beliebigem Code durch Umgehung der Sanitisierung von Promise-Callbacks. Das Update auf Version 3.10.2 behebt diesen kritischen Sicherheitsmangel. Insgesamt wurden 4 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-22709, CVE-2025-52691, CVE-2026-1470, CVE-2025-62056).

Eine kritische Sicherheitslücke (CVE-2026-24470) in Zalando's Ingress-Controller Skipper ermöglichte es Nutzern mit entsprechenden Berechtigungen, Zugriff auf interne Dienste zu erlangen. Das Problem betraf Versionen vor 0.24.0, welche nun durch Deaktivierung des Kubernetes ExternalName-Features behoben wurden. Admins sollten Erlaubnislisten für ExternalName-Targets und reguläre Ausdrücke für zusätzliche Sicherheit einsetzen.

Eine schwerwiegende Sicherheitslücke in Microsoft Office ermöglicht es Angreifern, lokal böswilligen Code auszuführen. Das CVE-2026-20952 mit einem CVSS-Score von 8.4 ist ein Use-after-free-Fehler, der von Unbefugten ausgenutzt werden kann. Betroffene Nutzer sollten dringend die bereitgestellten Sicherheitsupdates von Microsoft installieren, um sich vor dieser Bedrohung zu schützen.

Eine kritische Sicherheitslücke in der Salesforce Marketing Cloud Engagement (CloudPagesUrl-Modul) ermöglicht Angreifern, den Webservice-Protokoll zu manipulieren. Diese Schwachstelle betrifft Marketing Cloud Engagement vor dem 21. Januar 2026 und hat eine Schweregrad-Bewertung von 9.8. Administratoren sollten dringend ein Sicherheitsupdate einspielen, um ihre Systeme vor unbefugtem Zugriff zu schützen.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-24830 betrifft Ralim IronOS vor Version 2.23-rc2. Die Schwachstelle ermöglicht einen Integer-Overflow, was zu möglichen Abstürzen oder sogar Codeausführung führen kann. Betreiber sollten dringend ein Update auf eine unbeeinflusste Version durchführen, sobald dieses verfügbar ist.