Tech Blog

Die Beta-Version des Content-Management-Systems 202CMS ist von einer schwerwiegenden SQL-Injection-Sicherheitslücke betroffen. Unauthentifizierte Angreifer können durch manipulierte Anfragen an den Parameter "log_user" vertrauliche Daten aus der Datenbank auslesen. Die Schwachstelle hat einen CVSS-Wert von 8.2 und sollte dringend behoben werden, sobald ein Patch verfügbar ist.

Netartmedia PHP Mall 4.1 weist mehrere schwerwiegende SQL-Injection-Schwachstellen auf, die es unauthentifizierten Angreifern ermöglichen, Datenbankabfragen zu manipulieren und sensible Informationen wie Nutzerdaten abzugreifen. Betreiber sollten umgehend einen Patch aufspielen, um das System vor Kompromittierung zu schützen.

Acronis Cyber Protect 17 ist von einer schwerwiegenden Sicherheitslücke mit der CVE-2026-28710 betroffen. Diese ermöglicht Angreifern den Zugriff auf vertrauliche Informationen und deren Manipulation durch unzureichende Authentifizierung. Betroffen sind Linux- und Windows-Versionen der Software vor Build 41186. Administratoren sollten dringend ein Sicherheitsupdate installieren, um ihre Systeme vor Kompromittierung zu schützen.

In der KI-Assistenz-Software ZeptoClaw gab es bis Version 0.7.6 eine Sicherheitslücke, die es Angreifern ermöglichte, Nachrichten unter fremder Identität zu versenden. Da die Authentifizierung standardmäßig deaktiviert war, konnten Schurken mit Zugriff auf den Webhook-Endpunkt beliebige Absender und Chat-IDs fälschen, was zu Identitätsdiebstahl und potenziellem Missbrauch führte. Zum Glück wurde die Schwachstelle mit Version 0.7.6 behoben.

Eine schwerwiegende Sicherheitslücke in der Verwaltungskonsole des GetSimple CMS ermöglicht es Angreifern, mit Administratorrechten beliebigen PHP-Code auszuführen. Die Lücke betrifft die Version 3.3.22 des CMS-Systems und das Plugin "massiveAdmin" in Version 6.0.3. Ein Patch ist dringend erforderlich, um Systeme vor Kompromittierung zu schützen.

Die Jellyfin iOS-App hat eine Sicherheitslücke in ihrem GitHub Actions-Workflow, die beliebigen Schadcode über Pull-Requests aus Fork-Repositories ausführen lässt. Die erhöhten Berechtigungen dieses Workflows bergen erhebliche Risiken wie Übernahme des Repositorys, Exfiltration sensibler Daten und mögliche Supply-Chain-Angriffe auf den App Store. Diese kritische Schwachstelle mit der CVE-ID CVE-2026-31852 gefährdet die Integrität der gesamten Jellyfin-Organisation.

Eine schwerwiegende Sicherheitslücke in der Mail-Funktion von Zoom Workplace für Windows vor Version 6.6.0 ermöglicht es unauthentifizierten Angreifern, über Netzwerkzugriff Privileg-Eskalation durchzuführen und so die Sicherheit der Anwendung und ihrer Daten zu kompromittieren. Die Lücke mit der CVE-ID CVE-2026-30903 betrifft die Kontrolle über Dateinamen oder -pfade.

Mehrere Schwachstellen in Cisco IOS XR Software erlauben einem lokal angemeldeten Angreifer, Befehle als Root-Nutzer auszuführen oder die volle administrative Kontrolle über das betroffene Gerät zu erlangen. Cisco hat Softwareupdates veröffentlicht, um diese Sicherheitslücken zu schließen. Für eine der Schwachstellen ist auch ein Workaround verfügbar.

SAP hat Sicherheitsupdates veröffentlicht, um zwei kritische Schwachstellen zu beheben, die eine Ausführung von Schadcode ermöglichten. Die betroffenen Systeme sind die SAP Quotation Management Insurance-Anwendung (CVE-2019-17571, CVSS 9.8) und eine Lücke in der unsicheren Deserialisierung (CVE-2026-27685, CVSS 9.1). Administratoren sollten die Patches umgehend einspielen, um ihre SAP-Umgebungen vor Angriffen zu schützen.

In den HPE Aruba CX-Switches wurde eine kritische Sicherheitslücke entdeckt, die es Angreifern ermöglicht, administrative Kontrolle über die Netzwerkgeräte zu erlangen, ohne Zugangsdaten zu benötigen. Die Schwachstelle (CVE-2026-23813) ermöglicht es Angreifern, die Kontrolle über die Switches zu übernehmen und potenziell das gesamte Netzwerk zu kompromittieren. HPE Aruba hat Patches veröffentlicht, um diese Lücke zu schließen. Bis die Patches eingespielt werden, empfiehlt sich die Isolierung der Switch-Verwaltungsschnittstellen und das Beschränken des Zugriffs auf autorisierte Hosts. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-23814, CVE-2026-23817, CVE-2026-23813, CVE-2026-23816, CVE-2026-23815, CVE-2025-2172, CVE-2025-66848, CVE-2025-2171).