Tech Blog

Eine Deserialisierungslücke in der Mounthood-Komponente des WordPress-Plugins axiomthemes Mounthood ermöglicht Objekteinschleusung. Die Schwachstelle betrifft Versionen bis einschließlich 1.3.2. Sysadmins sollten das Plugin umgehend auf die neueste Version aktualisieren, um das System vor unbefugtem Zugriff zu schützen.

In der Blubrry PowerPress Podcasting-Erweiterung für WordPress wurde eine Deserialisierungs-Schwachstelle entdeckt, die Object Injection ermöglicht. Das betrifft Versionen von n/a bis einschließlich 11.15.10. Sysadmins sollten dringend auf ein aktuelles Update wechseln, um ihre Systeme vor möglichen Angriffen zu schützen.

Die Windows Logon Agent-Software von Changing weist eine kritische Sicherheitslücke auf, die es Angreifern ermöglicht, beliebigen Schadcode auszuführen, ohne sich zu authentifizieren. Betroffen ist die CVE-2026-2999-Schwachstelle mit einem Schweregrad von 9.8. Administratoren sollten schnellstmöglich einen Patch des Herstellers installieren, um die Systeme zu schützen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-2999, CVE-2026-3000).

Eine Sicherheitslücke im Woopy-Plugin von AncoraThemes ermöglicht es, durch unsachgemäße Kontrolle von Dateinamen, lokal Dateien einzubinden. Das betrifft Versionen bis einschließlich 1.2. Admins sollten schnell auf eine aktualisierte Version wechseln, um ihre Systeme vor möglichen Angriffen zu schützen.

Eine Sicherheitslücke in der PHP-Anwendung "Crown Art" erlaubt es Angreifern, lokal gespeicherte Dateien einzubinden. Das Problem betrifft Versionen bis einschließlich 1.2.11 und kann zu unerwünschtem Datenzugriff führen. Ein Patch ist erforderlich, um die Schwachstelle zu schließen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-22434, CVE-2026-22436).

In der Firmware des UTT HiPER 810G Router wurde eine Schwachstelle im strcpy-Aufruf des NTP-Moduls entdeckt. Durch Manipulation kann ein Angreifer einen Pufferüberlauf auslösen und potenziell die Kontrolle über das Gerät übernehmen. Der Exploit ist öffentlich verfügbar, sodass Admins zeitnah ein Update einspielen sollten, um ihre Systeme vor Angriffen zu schützen.

In D-Link DIR-860LB1 und DIR-868LB1 Routern wurde eine Sicherheitslücke entdeckt, die eine Ausführung von Schadcode ermöglicht. Die Schwachstelle betrifft den DHCP-Daemon und kann durch Manipulation des Hostnamen-Parameters ausgenutzt werden. Ein öffentlicher Exploit ist bereits verfügbar, sodass Angreifer die Lücke ferngesteuert ausnutzen können. Betroffene Nutzer sollten umgehend Sicherheitsupdates installieren, um ihre Systeme vor Kompromittierung zu schützen.

Eine kritische Schwachstelle in der Firmware von UTT-Routern ermöglicht Angreifern, durch Manipulation der "formRemoteControl"-Funktion einen Puffer-Überlauf auszulösen. Der Exploit ist bereits öffentlich und kann für Fernzugriffe missbraucht werden. Betroffen sind Modelle bis zur Version 1.7.7-171114 - ein Patch sollte so schnell wie möglich installiert werden.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-3730 wurde in der Hotel-Reservierungs-Software "itsourcecode Free Hotel Reservation System 1.0" entdeckt. Die Schwachstelle ermöglicht Angreifern durch manipulierte Argumente SQL-Injection-Attacken. Die Lücke ist als "hoch" eingestuft und wurde bereits öffentlich bekannt gemacht, sodass Exploits verfügbar sind.

Eine bekannte Sicherheitslücke in Telnet ermöglicht es Angreifern, Umgebungsvariablen wie LD_LIBRARY_PATH zu manipulieren und so die normalen Systembibliothe-ken zu umgehen. Dies kann zu einer Eskalation der Rechte bis hin zum Root-Zugriff führen. Die Schwachstelle ist seit über 20 Jahren bekannt, aber leider immer noch nicht in allen Systemen behoben.