Tech Blog

Eine schwerwiegende Sicherheitslücke in Moodle ermöglicht Angreifern die Ausführung von beliebigem Servercode. Die Schwachstelle betrifft die Restore-Schnittstelle, deren mangelhafte Eingabevalidierung zu einer unbeabsichtigten Codeausführung führen kann. Damit können Angreifer die gesamte Moodle-Anwendung kompromittieren. Ein Patch ist dringend erforderlich, um diese kritische Lücke (CVE-2025-67847) zu schließen.

Eine schwerwiegende Sicherheitslücke in der Framelink Figma MCP Server-Software ermöglicht es Angreifern, ohne Authentifizierung beliebigen Code auszuführen. Die Schwachstelle betrifft die "fetchWithRetry"-Funktion und erlaubt es Angreifern, mit Hilfe von manipulierter Eingabe Systemaufrufe zu injizieren. Dadurch können Angreifer die Kontrolle über den betroffenen Server erlangen und sensible Daten oder die Systemintegrität gefährden. Ein Patch ist dringend erforderlich, um diese kritische Schwachstelle zu schließen.

Zoom hat eine schwerwiegende Sicherheitslücke mit der CVE-ID CVE-2026-22844 in seiner Zoom Node Multimedia Router (MMRs)-Software vor Version 5.2.1716.0 bekannt gegeben. Die Schwachstelle ermöglicht Remote-Code-Ausführung mit einem CVSS-Score von 9.9 und sollte dringend gepatcht werden. Anwender werden aufgefordert, ihre Zoom-Software umgehend zu aktualisieren, um sich vor dieser kritischen Lücke zu schützen.

Eine kritische Sicherheitslücke in der WebSocket-Schnittstelle der XYZ-Software des Herstellers ABC Corporation ermöglicht es unbefugten Nutzern, Verbindungen aufzubauen und möglicherweise sensible Informationen abzugreifen oder unerlaubte Aktionen durchzuführen. Die mangelnde Authentifizierung stellt ein erhebliches Risiko für Privilege Escalation dar und gefährdet die Gesamtsicherheit der betroffenen Systeme. Geeignete Gegenmaßnahmen sind dringend erforderlich, um Angriffe über diese Schwachstelle zu verhindern.

Eine kritische Sicherheitslücke in Runtipi, einem Docker-basierten Heimserver, ermöglicht es Angreifern, willkürlichen Code auf dem System auszuführen. Das Problem liegt im BackupManager, der Dateinamen von Benutzern nicht ausreichend überprüft. Dadurch können Schädlinge Schadcode in Backup-Dateien einschleusen, der bei der Wiederherstellung ausgeführt wird. Der Fehler wurde in Version 4.7.0 behoben, Betreiber sollten dringend updaten. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-24129, CVE-2025-67847).

Eine kritische Sicherheitslücke in Microsoft Azure Front Door ermöglicht es unbefugten Nutzern, ihre Berechtigungen im Netzwerk zu erhöhen. Dies könnte böswilligen Akteuren den Zugriff auf vertrauliche Informationen und die Durchführung von Aktionen jenseits ihrer Befugnisse erlauben, was ein ernsthaftes Risiko für die Sicherheit und Integrität der Daten darstellt. Organisationen, die Azure Front Door einsetzen, müssen dringend Maßnahmen ergreifen, um dieses Risiko zu mindern und ihre Sicherheitsposition zu stärken. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-24306, CVE-2026-24305).

Eine Sicherheitslücke in Microsoft 365 Copilot ermöglicht Angreifern den Zugriff auf vertrauliche Informationen über das Netzwerk. Dieser Fehler zeigt, wie wichtig eine korrekte Eingabevalidierung bei der Softwareentwicklung ist. Unternehmen, die Copilot nutzen, sollten Maßnahmen ergreifen, um mögliche Datenlecks zu verhindern.

In Azure Logic Apps von Microsoft wurde eine Schwachstelle entdeckt, die es Angreifern ermöglicht, durch unzureichende Pfadeinschränkung erhöhte Rechte zu erlangen. Dieses Sicherheitsrisiko erfordert dringend die Installation der neuesten Patches, um die Systeme vor möglichen Angriffen zu schützen.

Microsoft hat eine kritische Sicherheitslücke in seinem Microsoft Account-Dienst entdeckt. Durch eine Schwachstelle bei der Eingabevalidierung können Angreifer Cross-Site-Scripting-Attacken durchführen und so Nutzerinteraktionen manipulieren sowie möglicherweise sensible Informationen abfangen. Dieser Vorfall unterstreicht einmal mehr die Notwendigkeit strenger Sicherheitsmaßnahmen, um Nutzerinteraktionen zuverlässig abzusichern.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2025-56425 ermöglicht es authentifizierten Angreifern, über den /osrest/api/organization/sendmail-Endpunkt der enaio-Dokumentenmanagement-Software beliebige SMTP-Befehle einzuschleusen. Das betrifft Versionen 10.10.0.183 und früher, 11.0.0.183 und früher sowie 11.10.0.183 und früher. Admins sollten schnellstmöglich auf aktualisierte Versionen umstellen, um ihre Systeme vor Missbrauch zu schützen.