Tech Blog

Eine Sicherheitslücke in der Automai BotManager-Software v.25.2.0 ermöglicht es Angreifern, über die BotManager.exe-Komponente beliebigen Schadcode auszuführen. Admins sollten dringend ein Update auf eine höhere, sicherere Version installieren, um ihre Systeme vor dem Missbrauch dieser kritischen Schwachstelle (CVE-2025-46070) zu schützen.

In der Roboter-Steuerungssoftware Unitree Go1 wurde eine schwerwiegende Sicherheitslücke entdeckt. Aufgrund von Hardcoded Zugangsdaten in Klartext können Angreifer unkontrollierten Zugriff auf die Geräte erlangen. Das Sicherheitsrisiko wird mit 8.8 von 10 Punkten als "hoch" eingestuft. Anwender sollten umgehend ein Firmware-Update einspielen, sobald es vom Hersteller bereitgestellt wird.

Die Schwachstelle CVE-2025-71063 in der Kalendersoftware Errands vor Version 46.2.10 lässt Entwickler TLS-Zertifikate von CalDAV-Servern nicht ordnungsgemäß prüfen. Dadurch können Angreifer möglicherweise Man-in-the-Middle-Angriffe durchführen und Kalenderdaten ausspähen oder manipulieren. Sicherheitsexperten empfehlen dringend, auf die neueste Errands-Version 46.2.10 oder höher zu aktualisieren, sobald ein Patch verfügbar ist.

In Coolify, einer selbst-gehosteten Lösung für Server- und Anwendungsverwaltung, existiert eine Sicherheitslücke, die es Nutzern mit geringen Rechten ermöglicht, als Root-Nutzer Systemkommandos auszuführen. Diese kritische Schwachstelle (CVE-2025-64424) betrifft Versionen bis einschließlich v4.0.0-beta.434. Zum Zeitpunkt der Veröffentlichung ist unklar, ob ein Patch verfügbar ist. Administratoren sollten die Situation genau beobachten und zeitnah Gegenmaßnahmen ergreifen, sobald eine Lösung bereitsteht.

In Coolify, einer Open-Source-Plattform zur Verwaltung von Servern, Anwendungen und Datenbanken, existiert eine Sicherheitslücke, die es Angreifern ermöglicht, das Passwort eines Opfers zurückzusetzen und dessen Konto zu übernehmen. Der Angreifer kann den Rücksetzlink so manipulieren, dass das Opfer unwissentlich den Token an den Angreifer sendet. Zum Zeitpunkt der Veröffentlichung ist noch unklar, ob ein Patch verfügbar ist.

Die Bibliothek iccDEV, die für den Umgang mit ICC-Farbprofilen genutzt wird, weist in Versionen vor 2.3.1.2 eine Typumwandlungsschwachstelle auf. Nutzer, die ICC-Profile mit der betroffenen iccDEV-Version verarbeiten, sind gefährdet. Ein Patch in Version 2.3.1.2 behebt das Problem, aber es gibt keine bekannten Umgehungslösungen.

Eine schwerwiegende Sicherheitslücke in den Versionen 5.0.0-RC1 bis 5.8.20 und 4.0.0-RC1 bis 4.16.16 des Craft CMS ermöglicht Angreifern mit Administratorzugriff oder speziellem Zugang zur System-Nachrichten-Funktion, beliebigen Schadcode auszuführen. Nutzer sollten umgehend auf die Versionen 5.8.21 und 4.16.17 aktualisieren, um sich vor dieser kritischen Schwachstelle zu schützen.

Eine kritische SQL-Injection-Schwachstelle im XWiki-Kalender-Makro ermöglicht es unautorisieren Nutzern, einschließlich Gästen, auf Datenbankinformationen zuzugreifen oder Denial-of-Service-Attacken auszulösen. Anwender werden dringend empfohlen, auf Version 2.4.5 oder höher zu aktualisieren, um sich vor dieser Sicherheitslücke (CVE-2025-65091) zu schützen.

Eine Schwachstelle im Datei-Session-Speicher-Mechanismus von React Router und Remix ermöglicht es Angreifern, Session-Daten zu manipulieren, wenn ein nicht signierter Cookie verwendet wird. Zwar ist ein direkter Datei-Zugriff durch Angreifer nicht möglich, aber je nach Server-Berechtigungen können sie möglicherweise Session-Informationen auslesen oder schreiben. Das Problem wurde in neueren Versionen der Produkte behoben.

Eine kritische Sicherheitslücke mit einer Bewertung von 8.8 wurde in der Funktion strcpy des UTT 进取 520W 1.7.7-180627 Gerätes entdeckt. Die Manipulation des Arguments "timestart" führt zu einem Pufferüberlauf und ermöglicht einen Remoteangriff. Der Vendor wurde informiert, reagierte jedoch nicht. Ein öffentlicher Exploit ist bereits bekannt, sodass Admins dringend ein Sicherheitsupdate einspielen sollten. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-0840, CVE-2026-0839, CVE-2026-0838).