Tech Blog

In Coolify, einer selbst-gehosteten Lösung für Server- und Anwendungsverwaltung, existiert eine Sicherheitslücke, die es Nutzern mit geringen Rechten ermöglicht, als Root-Nutzer Systemkommandos auszuführen. Diese kritische Schwachstelle (CVE-2025-64424) betrifft Versionen bis einschließlich v4.0.0-beta.434. Zum Zeitpunkt der Veröffentlichung ist unklar, ob ein Patch verfügbar ist. Administratoren sollten die Situation genau beobachten und zeitnah Gegenmaßnahmen ergreifen, sobald eine Lösung bereitsteht.

In Coolify, einer Open-Source-Plattform zur Verwaltung von Servern, Anwendungen und Datenbanken, existiert eine Sicherheitslücke, die es Angreifern ermöglicht, das Passwort eines Opfers zurückzusetzen und dessen Konto zu übernehmen. Der Angreifer kann den Rücksetzlink so manipulieren, dass das Opfer unwissentlich den Token an den Angreifer sendet. Zum Zeitpunkt der Veröffentlichung ist noch unklar, ob ein Patch verfügbar ist.

Die Bibliothek iccDEV, die für den Umgang mit ICC-Farbprofilen genutzt wird, weist in Versionen vor 2.3.1.2 eine Typumwandlungsschwachstelle auf. Nutzer, die ICC-Profile mit der betroffenen iccDEV-Version verarbeiten, sind gefährdet. Ein Patch in Version 2.3.1.2 behebt das Problem, aber es gibt keine bekannten Umgehungslösungen.

Eine schwerwiegende Sicherheitslücke in den Versionen 5.0.0-RC1 bis 5.8.20 und 4.0.0-RC1 bis 4.16.16 des Craft CMS ermöglicht Angreifern mit Administratorzugriff oder speziellem Zugang zur System-Nachrichten-Funktion, beliebigen Schadcode auszuführen. Nutzer sollten umgehend auf die Versionen 5.8.21 und 4.16.17 aktualisieren, um sich vor dieser kritischen Schwachstelle zu schützen.

Eine kritische SQL-Injection-Schwachstelle im XWiki-Kalender-Makro ermöglicht es unautorisieren Nutzern, einschließlich Gästen, auf Datenbankinformationen zuzugreifen oder Denial-of-Service-Attacken auszulösen. Anwender werden dringend empfohlen, auf Version 2.4.5 oder höher zu aktualisieren, um sich vor dieser Sicherheitslücke (CVE-2025-65091) zu schützen.

Eine Schwachstelle im Datei-Session-Speicher-Mechanismus von React Router und Remix ermöglicht es Angreifern, Session-Daten zu manipulieren, wenn ein nicht signierter Cookie verwendet wird. Zwar ist ein direkter Datei-Zugriff durch Angreifer nicht möglich, aber je nach Server-Berechtigungen können sie möglicherweise Session-Informationen auslesen oder schreiben. Das Problem wurde in neueren Versionen der Produkte behoben.

Eine kritische Sicherheitslücke mit einer Bewertung von 8.8 wurde in der Funktion strcpy des UTT 进取 520W 1.7.7-180627 Gerätes entdeckt. Die Manipulation des Arguments "timestart" führt zu einem Pufferüberlauf und ermöglicht einen Remoteangriff. Der Vendor wurde informiert, reagierte jedoch nicht. Ein öffentlicher Exploit ist bereits bekannt, sodass Admins dringend ein Sicherheitsupdate einspielen sollten. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-0840, CVE-2026-0839, CVE-2026-0838).

In der Open-Source-Projektmanagement-Software OpenProject existiert vor Version 16.6.4 eine kritische Sicherheitslücke, die es Angreifern ermöglicht, beliebige lokale Dateien auszulesen, auf die der Anwender Zugriff hat. Die Schwachstelle betrifft den PDF-Export von Arbeitspaketen und kann durch das Hochladen einer präparierten SVG-Datei ausgenutzt werden. Ein Patch ist verfügbar, Nutzer, die nicht upgraden können, müssen diesen manuell installieren.

Die Bibliothek CryptoLib, die zur Verschlüsselung von Kommunikation zwischen Raumfahrzeugen und Bodenstationen verwendet wird, wies vor Version 1.4.3 eine kritische Sicherheitslücke auf. Durch unzureichende Überprüfung der Speichergrenzen konnte ein Angreifer beim Parsen von AOS-Rahmenhashes einen Pufferüberlauf auslösen. Dies ermöglichte möglicherweise die Ausführung von beliebigem Code. Die Schwachstelle mit der CVE-ID CVE-2026-21898 wurde in Version 1.4.3 behoben.

In der LLM-basierten Dokumentenanalyse-Plattform WeKnora gab es bis Version 0.2.5 eine kritische Sicherheitslücke, die es authentifizierten Nutzern ermöglichte, über manipulierte Konfigurationseinstellungen beliebige Subprozesse auf dem Server auszuführen. Dieses Kommandoinjektions-Problem wurde in der aktuellen Version 0.2.5 behoben. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-22688, CVE-2026-22687).