Tech Blog

Eine kritische Sicherheitslücke in der Tabellenkomponente von Appsmith ermöglicht Angreifern mit Standardnutzerrechten, einen Admin-Account zu übernehmen. Die Ursache ist fehlendes HTML-Sanitizing, was böswillige Attribute in den DOM einschleust. Durch die "Benutzer einladen"-Funktion können Angreifer Admin-APIs aufrufen und die volle Kontrolle über das System erlangen. Das Problem ist in Version 1.96 behoben.

Eine kritische Sicherheitslücke in der Personal-Wissensmanagement-Software SiYuan ermöglicht es Angreifern, durch Datei-Traversal-Techniken sensible Konfigurationsdateien auszulesen. Dadurch können sie an Geheimnisse wie API-Token, Cookie-Signier-Schlüssel und Authentifizierungscodes gelangen, die den vollen Zugriff auf die SiYuan-Schnittstelle ermöglichen. In bestimmten Szenarien könnte die Schwachstelle sogar zu Remote-Code-Execution führen. Der Patch in Version 3.5.10 schließt diese Sicherheitslücke.

Eine kritische Sicherheitslücke in der Monitoring-Lösung OneUptime ermöglichte es Angreifern, die GitHub-App-Installation anderer Projekte zu überschreiben und so Zugriff auf deren Repositories zu erlangen. Das Problem wurde in Version 10.0.19 behoben.

In der Monitoring-Software OneUptime erlaubte eine Schwachstelle vor Version 10.0.20 Nutzern mit geringen Berechtigungen, eigenen Playwright-Code auszuführen, der direkten Zugriff auf den Browser-Prozess hatte. Dadurch konnten Angreifer beliebigen Code auf dem Überwachungsserver ausführen. Der Hersteller hat das Problem in Version 10.0.20 behoben.

Eine Schwachstelle im quelloffenen Dateimanager FileBrowser Quantum ermöglicht es Angreifern, bösartigen Code in öffentlich geteilten Dateien einzuschleusen. Das Problem betrifft Versionen vor 1.3.1-beta und 1.2.2-stable und kann ausgenutzt werden, wenn Nutzer die Share-URLs besuchen. Der Hersteller hat die Lücke in den genannten Updates behoben.

Eine kritische Schwachstelle mit der CVE-ID CVE-2025-40943 ermöglicht Angreifern, durch präparierte Trace-Dateien Schadcode einzuschleusen. Betroffen sind Geräte, die den Inhalt von Trace-Dateien nicht ordnungsgemäß bereinigen. Nutzer sollten daher äußerst vorsichtig sein, wenn sie Trace-Dateien importieren, da diese missbraucht werden könnten, um Kontrolle über das System zu erlangen.

Eine kritische Sicherheitslücke in MagicINFO 9 Server erlaubt autorisierten Nutzern das Hochladen von HTML-Dateien ohne Authentifizierung. Dies führt zu gespeicherter Cross-Site-Scripting-Schwachstelle (XSS), die potentiell zur Übernahme von Benutzerkonten ausgenutzt werden kann. Der Patch sollte schnellstmöglich eingespielt werden.

Eine kritische Sicherheitslücke in OneUptime Synthetic Monitors ermöglicht es einem Angreifer mit niedrigen Berechtigungen, beliebigen Code auf dem Probe-Server auszuführen. Der Grund dafür ist, dass unsicherer Synthetic Monitor-Code innerhalb der Node.js-VM ausgeführt wird, während gleichzeitig Playwright-Objekte für den Browser und die Seite zugänglich sind. Dadurch kann der Angreifer die Playwright-API missbrauchen, um einen eigenen Prozess zu starten. Diese Server-seitige Schwachstelle wurde in Version 10.0.21 behoben.

Eine kritische Sicherheitslücke im WordPress-Plugin Tutor LMS Pro ermöglicht es Angreifern, sich ohne Authentifizierung in beliebige Konten, einschließlich Administratoren, einzuloggen. Das Plugin ist auf über 30.000 Websites im Einsatz. Der Hersteller hat das Problem mit Version 3.9.6 behoben.

Eine Schwachstelle mit hoher Gefährdungsstufe (CVSS 9.4) in Zephyr RTOS, einem weit verbreiteten IoT-Betriebssystem, ermöglicht Angreifern die Ausführung von Schadcode. Betroffen sind schätzungsweise Millionen Geräte, die dringend gepatcht werden müssen, um eine Kompromittierung zu verhindern.