Tech Blog

In Apache Airflow-Versionen 3.1.0 bis 3.1.7 wurde eine Sicherheitslücke in den Human-in-the-Loop (HITL)-Endpunkten der Execution API entdeckt. Diese ermöglicht es jedem authentifizierten Task-Instanz, HITL-Workflows anderer Task-Instanzen zu lesen, zu genehmigen oder abzulehnen. Anwender werden empfohlen, auf Apache Airflow 3.1.8 oder höher zu aktualisieren, um das Problem zu beheben.

In der Open-Source-Plattform Coolify bis Version 4.0.0-beta.451 ermöglichte eine Sicherheitslücke in der Datenbanksicherung Nutzern mit Berechtigungen für Anwendungs- und Serververwaltung, beliebige Befehle als Root-Nutzer auf verwalteten Servern auszuführen. Dafür wurden Datenbanknahmen direkt und ohne Überprüfung an Shell-Befehle übergeben, was zu vollständiger Remotecodeausführung führte. Das Problem wurde in Version 4.0.0-beta.451 behoben.

In der Hexpm-Plattform für Elixir-Pakete gibt es eine kritische Sicherheitslücke (CVE-2026-21622) bei der Passwort-Zurücksetzung. Zurückgesetzte Passwort-Token laufen nie ab, sodass Angreifer alte E-Mails mit diesen Tokens missbrauchen können, um Konten zu übernehmen - auch wenn sie keinen Zugriff auf das Postfach haben. Das ist natürlich absolut inakzeptabel und zeigt mal wieder, dass Entwickler bei Sicherheit oft den Durchblick verlieren.

Eine kritische Sicherheitslücke (CVE-2026-25769) in den Wazuh-Versionen 4.0.0 bis 4.14.2 ermöglicht Angreifern, die Kontrolle über den Master-Knoten zu übernehmen, wenn sie Zugriff auf einen Worker-Knoten erhalten. Der Fehler betrifft die Deserialisierung von unsicheren Daten und kann zur Ausführung von Schadcode mit Root-Rechten missbraucht werden. Wazuh-Nutzer sollten dringend auf Version 4.14.3 oder höher aktualisieren, um sich vor dieser kritischen Schwachstelle zu schützen.

Eine kritische Sicherheitslücke (CVE-2026-32298) im Angeet ES3 KVM ermöglicht es einem authentifizierten Angreifer, über die fehlerhafte Verarbeitung von Benutzereingaben in der 'cfg.lua'-Skript Systemkommandos auszuführen. Administratoren müssen dringend einen Patch des Herstellers installieren, um ihre Systeme vor Missbrauch zu schützen.

Eine Sicherheitslücke im Sipeed NanoKVM vor Version 2.3.1 ermöglicht es einem unauthentifizierten Angreifer mit Netzwerkzugriff, die gespeicherte WLAN-Konfiguration zu ändern oder den Arbeitsspeicher zu erschöpfen und den KVM-Prozess zu beenden. Das ist nicht gut, Brudi.

Eine kritische Sicherheitslücke in HCL-Software-Produkten ermöglicht Angreifern, über eine Boolean-basierte SQL-Injection-Technik auf sensible Daten und Konfigurationen zuzugreifen. Ohne Patch drohen schwerwiegende Datenschutzverletzungen. Admins sollten die Systeme umgehend aktualisieren, um die Integrität und Vertraulichkeit ihrer Daten zu schützen.

Eine kritische Schwachstelle im Wavlink WL-WN578W2 WLAN-Router ermöglicht Angreifern, per manipulierter POST-Anfrage Befehle einzuschleusen und auszuführen. Dies kann zu einer vollständigen Übernahme des Geräts führen. Betroffene Nutzer sollten das Gerät umgehend auf die neueste Version aktualisieren, um sich vor diesem schwerwiegenden Sicherheitsrisiko zu schützen.

In der Topsec TopACM 3.0 Software existiert eine kritische Sicherheitslücke, die es Angreifern ermöglicht, über die Datei "/view/systemConfig/management/nmc_sync.php" beliebige Betriebssystem-Befehle auszuführen. Trotz Offenlegung des Problems reagierte der Hersteller bislang nicht. Admins müssen umgehend Gegenmaßnahmen ergreifen, um das System vor Kompromittierung zu schützen.

Forscher haben eine kritische Sicherheitslücke mit maximaler CVSS-Bewertung von 10.0 in der SandboxJS-Bibliothek entdeckt. Die Schwachstelle ermöglicht Angreifern die vollständige Übernahme der Kontrolle über betroffene Systeme durch das Ausführen von Schadcode. Betroffen sind alle Versionen von SandboxJS. Administratoren sollten umgehend einen Patch installieren, um ihre Systeme vor diesem "Golden Ticket"-Exploit zu schützen.