Tech Blog

Eine kritische Sicherheitslücke (CVE-2025-66956) in den Komponenten "Contact Plan", "E-Mail", "SMS" und "Fax" von Asseco SEE Live 2.0 erlaubt Angreifern den Zugriff auf und die Ausführung von Anhängen über eine berechenbare URL. Das Produkt weist somit gravierende Mängel im Zugriffsschutz auf, die dringend behoben werden müssen.

In der Verwaltungsoberfläche des Lantronix EDS5000 Router (Version 2.1.0.0R3) kann ein authentifizierter Angreifer Betriebssystem-Befehle in den "name"-Parameter beim Löschen von SSL-Zertifikaten injizieren. Die injizierten Befehle werden mit Root-Rechten ausgeführt, was eine vollständige Übernahme des Systems ermöglicht. Admins sollten umgehend ein Firmware-Update aufspielen, sobald ein Patch verfügbar ist. Insgesamt wurden 4 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-67034, CVE-2025-67035, CVE-2025-67036, CVE-2025-67037, CVE-2025-67038, CVE-2025-67039, CVE-2025-67041, CVE-2025-67035, CVE-2025-67036).

In der Microsoft DirectX End-User Runtime Web Installer-Version 9.29.1974.0 kann ein Standardnutzer eine ausführbare Datei während des Installationsprozesses ersetzen und so unbeabsichtigte Rechteerhöhungen erlangen. Der Installer läuft mit hoher Integrität und führt die heruntergeladenen Dateien aus, sodass ein Angreifer seine eigene Schadsoftware einschleusen und mit Systemrechten ausführen kann.

Eine kritische Sicherheitslücke in der OpenClaw Agent Platform v2026.2.6 ermöglicht Angreifern die Ausführung von beliebigem Schadcode. Die Schwachstelle mit der CVE-ID CVE-2026-30741 wird durch eine Request-Side-Prompt-Injection-Attacke ausgenutzt. Admins sollten dringend auf die neueste Version des Produkts aktualisieren, um die Lücke zu schließen.

In der oslabs-beta ThermaKube-Software wurde eine Sicherheitslücke im Zusammenhang mit hartkodierter Passwörter (CWE-259) entdeckt. Die Schwachstelle ermöglicht potenziell den unautorisierten Zugriff auf das Master-System. Admins sollten dringend nach einem Patch Ausschau halten und bis dahin Gegenmaßnahmen ergreifen, um das System vor Missbrauch zu schützen.

Eine kritische Sicherheitslücke im WordPress-Plugin ProfilePress erlaubt es angemeldeten Angreifern, die Abonnements anderer Nutzer zu kündigen. Die Schwachstelle betrifft alle Versionen bis einschließlich 4.16.11 und ermöglicht es Angreifern mit Subscriber-Rechten oder höher, fremde aktive Abonnements über den "change_plan_sub_id"-Parameter zu löschen. Betroffene Nutzer verlieren dadurch sofortigen Zugriff auf kostenpflichtige Inhalte.

Die Multimodal-Generation-Komponente von SGLang ist anfällig für eine unauthentifizierte Remotecodeausführung über den ZMQ-Broker. Dabei werden unkontrollierte Daten mithilfe von pickle.loads() deserialisiert, was Angreifern die Ausführung beliebigen Codes ermöglicht. Administratoren sollten umgehend ein Sicherheitsupdate einspielen, um ihre Systeme vor dieser kritischen Sicherheitslücke zu schützen.

Eine Sicherheitslücke in Pingoras Standardimplementierung des HTTP-Cacheschlüssels ermöglicht Cachepoisoning-Attacken. Betroffen sind Pingora-Nutzer, die auf die Standardeinstellung vertrauen. Angreifer könnten so Daten zwischen Mandanten durchsickern lassen oder Nutzer mit schädlichen Inhalten versorgen. Der Patch in Version 0.8.0 behebt das Problem, ältere Nutzer müssen eigene Cacheschlüssel implementieren.

Eine kritische Sicherheitslücke in der Content-Management-Software Winter CMS ermöglichte es Nutzern mit Backend-Zugriff, ihre Berechtigungen im System zu erhöhen. Angreifer mit Zugang zum Backend konnten diese Schwachstelle ausnutzen, um ihre Kontrolle über das System auszuweiten. Das Problem wurde in den Versionen 1.0.477, 1.1.12 und 1.2.12 behoben.

Eine kritische SQL-Injection-Schwachstelle in der 202CMS v10 beta-Version ermöglicht es unauthentifizierten Angreifern, Datenbankanfragen zu manipulieren und sensible Informationen auszulesen oder sogar den Datenbankinhalt zu ändern. Dieses Leck sollte schnell geschlossen werden, bevor skrupellose Zeitgenossen die Sicherheit der betroffenen Systeme kompromittieren.