Tech Blog

Die Versionen 3.6.6 und älter des Charity-Verwaltungstools WeGIA weisen eine kritische Sicherheitslücke auf. Angreifer können über den listar_memorandos_ativos.php-Endpunkt beliebigen JavaScript-Code in die Anwendung injizieren. Das Problem wurde in Version 3.6.7 behoben.

Eine schwerwiegende Sicherheitslücke in den GitHub-Actions-Workflows des Jellyfin-iOS-Projekts ermöglicht Angreifern die Übernahme des gesamten Repositorys, einschließlich des Zugriffs auf hochsensible Geheimnisse und sogar Manipulationen der Apple App Store-Supply-Chain. Zum Glück erfordert diese Schwachstelle keine Codeänderungen seitens der Endnutzer.

Eine schwerwiegende Sicherheitslücke in Microsoft Bing Images ermöglicht es Angreifern, über ein Netzwerk beliebigen Code auszuführen. Die Schwachstelle, die als CVE-2026-32194 bekannt ist, betrifft die fehlerhafte Neutralisierung von Sonderelementen in Befehlen ("Command Injection"). Betroffen sind Nutzer, die Bing Images verwenden. Microsoft hat bislang noch keinen Patch veröffentlicht, sodass Administratoren zunächst Gegenmaßnahmen wie die Deaktivierung der betroffenen Funktionalität ergreifen müssen.

In Langflow, einem Tool zum Erstellen und Deployen von KI-basierten Agenten und Workflows, erlaubt die Endpunkt-Schwachstelle /api/v1/build_public_tmp/{flow_id}/flow vor Version 1.9.0 das Erstellen öffentlicher Flows ohne Authentifizierung. Dabei kann manipulierter Code in die optionalen Daten-Parameter eingeschleust und ohne Sandbox-Schutz ausgeführt werden, was zu einer kritischen Fernzugriffs-Lücke führt. Ein Patch in Version 1.9.0 hat dieses Problem behoben.

In Livewire v3 bis einschließlich v3.6.3 existiert eine kritische Sicherheitslücke, die es unauthentifizierten Angreifern ermöglicht, Remote Code Execution durchzuführen. Das Problem liegt in der Art und Weise, wie bestimmte Komponenteneigenschaften hydratisiert werden. Der Patch in v3.6.4 behebt diese Schwachstelle, weshalb Nutzer dringend zum Upgrade aufgefordert werden.

In den Versionen von OPEXUS eComplaint und eCASE vor 10.1.0.0 wird ein geheimer Verifizierungscode während eines Passwort-Reset-Vorgangs im HTTP-Response übertragen. Angreifer mit Kenntnis einer gültigen E-Mail-Adresse können dadurch Passwörter ohne weitere Sicherheitsüberprüfung zurücksetzen. Bestehende Sicherheitsfragen, die eine zusätzliche Verifizierung bieten könnten, werden in diesem Prozess umgangen, was das Risiko unberechtigten Zugriffs erhöht.

Eine kritische Schwachstelle vom Typ Pfad-Traversal wurde in der UniFi Network Application von Ubiquiti entdeckt. Angreifer können diese Lücke ausnutzen, um auf dem Zielsystem Dateien zu lesen und zu manipulieren. Dies kann zu unbefugtem Zugriff auf sensible Kontoinformationen und Sicherheitsrisiken für das Netzwerk führen. Betroffene Nutzer sollten umgehend ein Update der Software installieren, sobald Ubiquiti einen Patch veröffentlicht. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-22557, CVE-2026-22558, CVE-2024-57727, CVE-2025-23092, CVE-2026-22557, CVE-2026-22558).

Russische APT-Gruppen nutzen eine kritische Sicherheitslücke (CVE-2025-66376) in Zimbra aus, um über manipulierte HTML-E-Mails Skripte auf Systemen in der Ukraine auszuführen. Die Schwachstelle ermöglicht Cross-Site-Scripting-Angriffe, mit denen Angreifer böswilligen Code auf Zielrechnern platzieren können.

Über 100 kritische Sicherheitslücken in beliebten WordPress-Plugins und -Themes wurden entdeckt. Betroffen sind u.a. Datenlecks, Privilege Escalation und Remote Code Execution. Nutzer sollten dringend Patches installieren oder Alternativen verwenden, um ihre Systeme vor Angriffen zu schützen.

Die Ransomware-Bande Interlock hat eine Zero-Day-Lücke in beliebten Cisco-Firewalls ausgenutzt, bevor die Schwachstelle öffentlich bekannt wurde. Amazon hat diesen Vorfall enthüllt. Die Auswirkungen der Schwachstelle auf die IT-Sicherheit sind erheblich, da Angreifer unbemerkt in Netzwerke eindringen und Systeme verschlüsseln konnten. Betroffene Unternehmen müssen ihre Cisco-Firewalls dringend auf den aktuellsten Stand bringen, um sich vor weiteren Angriffen zu schützen.