Tech Blog

Eine schwerwiegende Schwachstelle (CVE-2026-27728, CVSS 10) in der OneUptime Probe Software ermöglicht Angreifern die Ausführung beliebiger Befehle auf dem betroffenen Server. Dadurch können Systeme komplett übernommen werden. Betroffen sind alle Versionen der OneUptime Probe. Bis ein Patch vorliegt, sollte die Software unverzüglich vom Netz genommen werden.

Forscher haben eine kritische SSRF-Sicherheitslücke (Server-Side Request Forgery) mit Schweregrad 9.2 in Angular SSR (Server-Side Rendering) entdeckt. Dadurch können Angreifer interne Netzwerke ausspionieren. Eine Patch-Veröffentlichung durch die Entwickler ist erforderlich, um diese Schwachstelle zu schließen.

Eine kritische Sicherheitslücke mit CVE-2026-3400 wurde in Tenda AC15 Routern bis zur Version 15.13.07.13 entdeckt. Ein Stack-Overflow in der Funktion /goform/TextEditingConversion kann von Angreifern ausgenutzt werden, um die Kontrolle über das Gerät zu erlangen. Ein öffentlicher Exploit ist bereits verfügbar, sodass Admins dringend ein Firmware-Update einspielen sollten. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-3400, CVE-2026-3410, CVE-2026-3413, CVE-2026-3274).

Das U-Office Force Plugin, entwickelt von e-Excellence, weist eine kritische Sicherheitslücke durch unsichere Deserialisierung auf. Unbefugte Angreifer können damit beliebigen Code auf dem Server ausführen. Betroffene Admins sollten umgehend das Update auf die Herstellerpatch-Version installieren, um ihre Systeme vor Missbrauch zu schützen.

In einem WLAN-STA-Treiber gibt es eine mögliche Privileg-Eskalation aufgrund einer fehlenden Bereichsüberprüfung. Dies könnte zu einer lokalen Eskalation der Rechte führen, wenn ein böswilliger Akteur bereits Systemrechte erlangt hat. Eine Benutzerinteraktion ist für die Ausnutzung nicht erforderlich. Ein Patch ist unter der ID WCNCR00473802 (Issue MSV-5970) verfügbar.

Die Version 1.15.2 und frühere Versionen des CleverTap Web SDK sind von einer DOM-basierten Cross-Site-Scripting-Schwachstelle (XSS) betroffen. Angreifer können diese Lücke im Visual Builder Modul ausnutzen, um bösartigen Code einzuschleusen. Das SDK verwendet eine fehlerhafte Überprüfung der Origin-URL, die umgangen werden kann. Betroffene Nutzer sollten dringend auf die neueste Version des SDK aktualisieren, um sich vor dieser kritischen Sicherheitslücke zu schützen.

Die Version 5.202506.d und frühere Versionen des Content-Management-Systems PublicCMS sind anfällig für gespeicherte Cross-Site-Scripting-Schwachstellen (XSS). Hochgeladene PDF-Dateien können bösartigen JavaScript-Code enthalten, der die PDF-Sicherheitsüberprüfungen im Backend umgeht. Wenn ein Nutzer eine solche manipulierte PDF-Datei öffnet, kann der eingebettete JavaScript-Code ausgeführt werden, was zu Problemen wie Zugangsdaten-Diebstahl, willkürlicher API-Ausführung und anderen Sicherheitsbedenken führen kann.

Das Chamilo-Lernmanagementsystem wies bis zur Version 1.11.30 eine kritische Sicherheitslücke auf, die es Nutzern mit Lehrerrolle ermöglichte, böswilligen JavaScript-Code gegen den Administrator einzuschleusen. Die Schwachstelle wurde mittlerweile behoben, Anwender sollten umgehend auf die aktuelle Version 1.11.30 oder höher aktualisieren.

Eine kritische Schwachstelle mit der Bewertung 9.8 wurde in der Präsentationssoftware Slyde entdeckt. Versionen 0.0.4 und älter sind betroffen, da Node.js automatisch bösartigen Code aus .plugin.js-Dateien in node_modules ausführt. Alle Projekte, die dieses Verhalten nutzen und ungeprüfte Pakete installieren, sind gefährdet. Das Problem wurde in Version 0.0.5 behoben, Nutzer können auch eine Überprüfung und Einschränkung der installierten Pakete als Gegenmaßnahme ergreifen.

Eine Schwachstelle in XWEB Pro Version 1.12.1 und älter ermöglicht einem authentifizierten Angreifer die Ausführung von Schadcode auf dem System. Die Lücke tritt bei der Firmware-Aktualisierung auf, bei der manipulierte Eingaben zu Remotecode-Ausführung führen können. Nutzer sollten dringend auf die neueste Version von XWEB Pro aktualisieren, um sich vor dieser kritischen Sicherheitslücke zu schützen.