Tech Blog

Eine Sicherheitslücke in MongoDB mit der Bezeichnung CVE-2025-14847 wird derzeit aktiv ausgenutzt. Über 87.000 potenziell anfällige Instanzen wurden weltweit identifiziert. Die Schwachstelle ermöglicht es einem unauthentifizierten Angreifer, sensible Daten aus dem MongoDB-Serverspeicher abzugreifen. Systemadministratoren sollten dringend Patches installieren oder Gegenmaßnahmen ergreifen, um ihre Systeme vor diesem kritischen Sicherheitsrisiko (CVSS 8.7) zu schützen.

Extbase-Extensions sind mächtig, aber ohne bewusste Härtung anfällig für SQL Injection, Mass Assignment, Identity Manipulation, CSRF und XSS. Dieses Tutorial basiert auf den offiziellen TYPO3 Security Guidelines und zeigt konkrete Maßnahmen für TYPO3 v12 bis v14. > "All input data your extension receives from the user can be potentially malicious.

Eine schwerwiegende Sicherheitslücke in LangChain Core (CVE-2025-68664) ermöglicht Remote-Code-Execution durch Prompt-Injection. Angreifer können so sensible Geheimnisse auslesen und die Ausgaben großer Sprachmodelle manipulieren. Betroffen sind alle Versionen von LangChain Core. Ein Patch ist dringend erforderlich, um vertrauliche Daten zu schützen.

Die US-Behörde CISA warnt vor einer hochgefährlichen Sicherheitslücke in Digiever DS-2105 Pro Network Video Recordern (NVRs). Die Schwachstelle mit der Kennung CVE-2023-52163 ermöglicht Angreifern nach einer Authentifizierung die Ausführung von Schadcode. Betreiber sollten dringend Patches vom Hersteller installieren, um ihre Systeme vor Kompromittierung zu schützen.

Die PHP-Landschaft hat sich gewandelt. Wer heute Frameworks wie Laravel oder Symfony einsetzt, muss sich seltener Sorgen um klassische mysql_query-Injections machen. Dafür treten neue, architekkturbedingte Risiken in den Vordergrund: Unsafe Deserialization in Stream-Wrappern, Property-Injection in ORMs und SSRF in Cloud-Microservices. Dieses Tutorial seziert moderne Angriffsvektoren anhand von Code-Beispielen und zeigt Härtungsmaßnahmen mit Snuffleupagus und Code-Design..

Sicherheitsforscher, die nach Proof-of-Concept-Exploits auf GitHub suchen, könnten in eine Falle tappen. Angreifer verbreiten den Webrat-Trojaner, getarnt als legitime Exploit-Repositories für bekannte Schwachstellen wie CVE-2025-59295 in Internet Explorer. Das Ziel sind unerfahrene Analysten, die die Exploits ohne Vorsichtsmaßnahmen ausführen.

Das OLG München hat entschieden, dass Plattform-Betreiber wie Meta für Sicherheitslücken beim Massenabgriff von Nutzerdaten haften müssen. Damit werden die Rechte der Nutzer gegenüber Datenkraken gestärkt. Endlich mal ein Urteil, das nicht nach dem üblichen Lobbyisten-Gelaber klingt.

WatchGuard hat eine kritische Sicherheitslücke in Fireware OS behoben, die es Angreifern ermöglicht, ohne Authentifizierung beliebigen Code auf betroffenen Firebox-Firewalls auszuführen. Die Lücke (CVE-2025-14733) wird bereits aktiv ausgenutzt. Betroffene Nutzer sollten umgehend Updates installieren oder empfohlene Schutzmaßnahmen ergreifen, um Systeme vor Kompromittierung zu schützen.

Eine kritische Sicherheitslücke (CVE-2025-68613, CVSS 9.9) in der n8n Workflow-Automation-Plattform ermöglicht unter bestimmten Umständen die Ausführung von beliebigem Code. Mit rund 57.000 wöchentlichen Downloads ist das Paket weit verbreitet. Admins sollten umgehend einen Patch einspielen, um ihre Systeme vor Angriffen zu schützen.

Sicherheitsforscher haben Details zu einem neuen bösartigen Paket im npm-Repository enthüllt, das als voll funktionsfähige WhatsApp-API fungiert, aber auch die Möglichkeit enthält, jede Nachricht abzuhören und das Gerät des Angreifers mit dem WhatsApp-Konto des Opfers zu verknüpfen. Das Paket mit dem Namen "lotusbail" wurde seit seiner Veröffentlichung durch einen Nutzer namens " " über 56.000 Mal heruntergeladen.