Tech Blog

In bestimmten mod_ssl-Konfigurationen des Apache HTTP Server 2.4.35 bis 2.4.63 ist eine Umgehung der Zugangskontrolle durch vertrauenswürdige Clients über TLS 1.3-Session-Wiederaufnahme möglich. Das betrifft Konfigurationen mit mehreren virtuellen Hosts, bei denen jedem ein anderer Satz vertrauenswürdiger Client-Zertifikate zugewiesen ist. Ohne die Aktivierung von SSLStrictSNIVHostCheck können Clients, die für einen virtuellen Host autorisiert sind, auf andere zugreifen.

Eine kritische Schwachstelle (CVE-2021-43113) mit einem Schweregrad von 9.8 wurde in der PDF-Bibliothek iTextPDF entdeckt. Die Lücke ermöglicht Angreifern, über eine fehlerhafte Verarbeitung von Ghostscript-Befehlen Schadcode auf betroffenen Systemen auszuführen. Betroffen sind iText 7 Versionen bis einschließlich 7.1.17 (exkl. 4.4.13.3). Nutzer sollten schnellstmöglich auf eine aktualisierte, gepatcht Version von iTextPDF umsteigen, um sich vor Angriffen zu schützen.

Eine kritische Schwachstelle (CVE-2025-54988) in Apache Tika erlaubt Angreifern, über präparierte PDF-Dateien Zugriff auf sensible Daten zu erlangen oder böswillige Anfragen an interne Ressourcen oder Drittanbieter-Server auszulösen. Das Problem betrifft Tika-Versionen von 1.13 bis einschließlich 3.2.1. Nutzer werden dringend empfohlen, auf Version 3.2.2 zu aktualisieren, um die Sicherheitslücke zu schließen.

Eine kritische Schwachstelle im OpenJPEG-Codec ermöglicht durch einen Pufferüberlauf das Schreiben von Speicherbereichen außerhalb des vorgesehenen Bereichs. Dies kann zu Abstürzen oder möglicherweise sogar zur Ausführung von Schadcode führen. Betroffen sind die Versionen 2.5.1 bis 2.5.3. Ein Patch ist verfügbar, Anwender sollten OpenJPEG umgehend aktualisieren.

Eine Sicherheitslücke mit hoher Schwere (CVE-2025-58098) in Apache HTTP Server 2.4.65 und älteren Versionen ermöglicht Remote Code Execution, wenn Server Side Includes (SSI) und mod_cgid aktiviert sind. Betreiber sollten schnellstmöglich auf Version 2.4.66 aktualisieren, um die Lücke zu schließen.

Eine kritische Sicherheitslücke in Oracle HTTP Server und Weblogic Server Proxy erlaubt es Angreifern ohne Authentifizierung, auf sensible Daten zuzugreifen und diese zu manipulieren. Die Lücke betrifft die Versionen 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0 und hat eine maximale CVSS-Bewertung von 10.0. Administratoren sollten dringend die betroffenen Systeme patchen, um Schäden zu vermeiden.

Eine schwerwiegende Sicherheitslücke im WordPress-Plugin "LA-Studio Element Kit for Elementor" erlaubt es unauthentifizierten Angreifern, sich als Administrator auf der betroffenen Website anzumelden. Die Schwachstelle betrifft alle Versionen bis einschließlich 1.5.6.3 und wurde mit der CVE-ID CVE-2026-0920 dokumentiert. Betreiber sollten das Plugin umgehend auf die neueste Version aktualisieren, um ihre Systeme vor Kompromittierung zu schützen.

Eine schwerwiegende SQL-Injection-Schwachstelle in der Hotel-Gast-Hotspot-Software von Aida Computer Information Technology Inc. ermöglicht Angreifern, beliebige SQL-Befehle auszuführen. Der Hersteller hat trotz Kontaktaufnahme nicht reagiert, sodass Kunden selbst Gegenmaßnahmen ergreifen müssen.

Eine kritische Sicherheitslücke im WordPress-Plugin "Eventer" ermöglicht Angreifern Blind-SQL-Injection-Attacken. Die Schwachstelle betrifft Versionen vor 3.11.4 und kann zur Übernahme des Systems führen. Admins sollten das Plugin umgehend auf die neueste Version aktualisieren, um ihre Systeme vor Kompromittierung zu schützen.

In der Firmware-Version 1.0.0.1 des Tenda AX1803-Routers wurde eine schwerwiegende Schwachstelle mit der CVE-2026-1329 entdeckt. Ein Angreifer kann durch eine Manipulation der Funktion "fromGetWifiGuestBasic" einen Puffer-Überlauf ausnutzen und so möglicherweise Schadcode ausführen. Ein Exploit ist bereits veröffentlicht, sodass Administratoren dringend ein Firmware-Update einspielen sollten, um ihre Systeme vor Angriffen zu schützen.