Tech Blog

Versionen von MLFlow bis einschließlich 3.4.0 sind anfällig für DNS-Rebinding-Angriffe aufgrund fehlender Überprüfung des Origin-Headers im MLFlow-REST-Server. Angreifer können so die Same-Origin-Policy umgehen und unbefugt auf REST-Endpunkte zugreifen, um Experimente abzufragen, zu aktualisieren oder zu löschen. Dies kann zu Datenverlust, -zerstörung oder -manipulation führen. Das Problem wurde in Version 3.5.0 behoben.

Bestimmte IP-Kameramodelle des Herstellers Merit LILIN weisen eine OS-Befehlseinschleusung-Schwachstelle (CVE-2026-0855) auf, die es authentifizierten Angreifern ermöglicht, willkürliche Betriebssystembefehle auf dem Gerät auszuführen. Betroffen sind Kunden, die diese Kameras einsetzen. Ein Patch ist bislang nicht verfügbar, Anwender sollten die Kameras daher vorerst vom Netz nehmen oder anderweitig absichern.

Eine kritische SQL-Injection-Schwachstelle wurde in der Video Station-Software entdeckt. Durch die Lücke können authentifizierte Nutzer böswilligen Code über ein Netzwerk einschleusen. Der Hersteller hat das Problem bereits in Version 5.7.0 vom 27.07.2023 behoben. Sysadmins sollten zeitnah auf die aktualisierte Version umstellen, um ihre Systeme vor Angriffen zu schützen.

Eine Sicherheitslücke mit der CVE-ID CVE-2025-31643 ermöglicht Angreifern in der WordPress-Plugin "WPCHURCH" Version 2.7.0 und älter eine unberechtigte Rechteausweitung. Dadurch können Angreifer ihre Rechte auf dem System erhöhen und so potenziell weitere Schäden verursachen. Betroffene Seitenbetreiber sollten das Plugin umgehend auf die neueste Version aktualisieren, um diese kritische Schwachstelle zu schließen.

Eine kritische Schwachstelle (CVE-2025-62877, CVSS 9.8) in SUSE Virtualisierung (Harvester) ermöglicht den Zugriff auf das Standard-SSH-Passwort, wenn der interaktive Installer der Version 1.5.x oder 1.6.x verwendet wird. Das Problem betrifft Projekte, die Harvester einsetzen. Eine Nutzung des PXE-Boot-Mechanismus zusammen mit der Harvester-Konfiguration ist nicht betroffen.

Eine kritische Sicherheitslücke in der OWASP Core Rule Set (CRS) führt dazu, dass Angreifer Charsets in Multipart-Requests missbrauchen können. Betroffen sind Versionen vor 4.22.0 und 3.3.8, die nun gepatcht wurden. Die Lücke kann zu Schwachstellen in Web-Applikations-Firewalls führen, die die CRS einsetzen.

Eine Sicherheitslücke in Nitro PDF Pro für Windows vor Version 14.42.0.34 ermöglicht es, dass Signerinformationen aus einem nicht verifizierten PDF-Feld anstatt vom verifizierten Zertifikatsinhaber angezeigt werden. Dies könnte zu inkonsistenten Signerinformationen führen. Der Hersteller hat die Anzeige-Logik angepasst, um sicherzustellen, dass die Signerinformationen immer dem verifizierten Zertifikatsinhaber entsprechen.

In ZimaOS, einer Variante des CasaOS-Betriebssystems, ermöglicht eine Schwachstelle in der Anmeldeprozedur bis Version 1.5.0 Unbefugten den Zugriff auf das System, wenn sie einen bekannten Systemnutzernamen verwenden - unabhängig vom verwendeten Passwort. Ohne verfügbaren Patch müssen Nutzer dieses Betriebssystems dringend Gegenmaßnahmen ergreifen, um ihre Systeme vor Kompromittierung zu schützen.

Die Versionen bis 2.1.3 des JimuReport-Tools sind anfällig für eine kritische Sicherheitslücke, die Remote-Code-Ausführung ermöglicht. Angreifer können durch manipulierte JDBC-URLs beliebigen Java-Code ausführen. Dieses Problem ist anders als die zuvor bekannte Schwachstelle CVE-2025-10770.

Eine Sicherheitslücke in Automai Director v.25.2.0 ermöglicht es einem Angreifer aus der Ferne, seine Rechte zu erhöhen. Sysadmins sollten dringend ein Update auf eine neuere, gepatcht Version installieren, um ihre Systeme vor dieser Schwachstelle zu schützen. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-46066, CVE-2025-46067, CVE-2025-46068).