Tech Blog

Eine kritische Sicherheitslücke (CVE-2026-32301, CVSS 9.3) in der Open-Source-Plattform Centrifugo ermöglicht Server-Side Request Forgery (SSRF) für unauthentifizierte Angreifer. Betroffen sind Versionen vor 6.7.0, bei denen die JWKS-Endpunkt-URL template-basiert konfiguriert ist. Dadurch können Angreifer manipulierte JWT-Token einschleusen und Centrifugo dazu bringen, Anfragen an ihre kontrollierten Systeme zu senden. Der Patch in Version 6.7.0 behebt dieses Problem.

Eine Sicherheitslücke mit der CVE-ID CVE-2026-3909 in der Grafikbibliothek Skia von Google Chrome ermöglicht es Angreifern, über eine manipulierte HTML-Seite unkontrollierten Speicherzugriff zu erlangen. Das Ganze wird vom Chromium-Projekt als "Hoch" eingestuft. Betroffene Nutzer sollten dringend auf die Version 146.0.7680.75 oder höher aktualisieren, um sich vor diesem Problem zu schützen.

In der Tiandy Easy7 Integrated Management Plattform bis Version 7.17.0 wurde eine kritische Schwachstelle mit dem CVE-ID CVE-2026-4585 entdeckt. Durch Manipulation des "File"-Arguments in der Datei "/Easy7/apps/WebService/ImportSystemConfiguration.jsp" kann eine Ausführung von Betriebssystemkommandos erfolgen. Der Angriff lässt sich von außen durchführen. Leider hat der Hersteller bislang nicht auf die Offenlegung der Schwachstelle reagiert.

Eine Sicherheitslücke in Veeam Backup & Replication für Windows-Systeme ermöglicht lokale Benutzer die Rechteausweitung auf dem System. Die Schwachstelle hat den Schweregrad "Hoch" (8.8) und sollte zeitnah behoben werden. Anwender werden empfohlen, das System zeitnah zu aktualisieren, sobald ein Patch verfügbar ist.

Das WordPress-Plugin "MimeTypes Link Icons" ist bis einschließlich Version 3.2.20 von einer Server-Side-Request-Forgery-Schwachstelle betroffen. Authentifizierte Angreifer mit Contributor-Rechung oder höher können über präparierte Links in Beiträgen beliebige Webaufrufe tätigen und interne Dienste ausspähen oder manipulieren. Ein Patch ist erforderlich, um diese kritische Sicherheitslücke zu schließen.

Eine Schwachstelle mit hoher Schwere (CVE-2024-33065, CVSS 8.4) führt zu Speicherbeschädigung beim Erstellen von Kamera-Snapshots. Der Fehler tritt auf, wenn ein Offset-Wert vom Kamera-Treiber gesetzt wird. Sicherheitsexperten raten zu zeitnaher Aktualisierung der betroffenen Treiber, um Angriffe zu verhindern.

In WWBN AVideo Versionen bis 25.0 wird standardmäßig das Passwort "password" für den Adminaccount verwendet, was eine direkte Übernahme des Systems ermöglicht. Ohne Änderung des Standardpassworts sind Datenlecks, Manipulationen und potenzielle Remote-Code-Ausführung möglich. Die Schwachstelle wird durch eine schwache Hashfunktion und fehlende Sicherheitskontrollen verstärkt. Ein Patch ist in Version 26.0 verfügbar.

Das WordPress Plugin "The Ultimate WordPress Toolkit – WP Extended" ist bis einschließlich Version 3.2.4 von einer Privilege Escalation-Schwachstelle betroffen. Authentifizierte Angreifer mit Subscriber-Rechten oder höher können durch Anhängen eines präparierten Query-Parameters an eine Admin-URL administrative Rechte erlangen und so neue Administrator-Accounts erstellen.

Eine kritische Schwachstelle mit hoher Gefährdung (CVE-2026-4535) wurde im Tenda FH451 Router Firmware 1.0.0.9 entdeckt. Der Angriff kann über eine manipulierte Funktion im Web-Interface ausgeführt werden und führt zu einem Pufferüberlauf. Dies ermöglicht potenziell die Ausführung beliebigen Codes auf dem Gerät. Ein öffentlicher Exploit ist bereits verfügbar, sodass Sicherheitsverantwortliche zeitnah reagieren und betroffene Geräte patchen sollten.

Die Schwachstelle CVE-2019-25619 in der Version 6.83 des FTP-Shell-Servers ermöglicht es lokalen Angreifern, durch Eingabe einer präparierten Zeichenkette in das "Account name to ban"-Feld beliebigen Code auszuführen. Angreifer können so Schadcode injizieren und Systeme kompromittieren. Ein Patch ist verfügbar, der dieses Problem behebt.