Security-Briefing 01.07.2026: Kritische Schwachstellen in WordPress-Plugins, KI-Tools und Unternehmenssoftware

Privilege Escalation in ProfileGrid WordPress-Plugin

Das WordPress-Plugin ProfileGrid – User Profiles, Groups and Communities ist in allen Versionen bis einschließlich 5.9.9.5 anfällig für eine Privilegieneskalation durch Account-Übernahme. Grund ist die fehlende Validierung des Parameters user_login in Registrierungsformularen ohne diesen Parameter sowie eine fehlerhafte Fehlerbehandlung. Angreifer können so die E-Mail-Adresse des Benutzerkontos mit der ID 1 (meist ein Administrator) ändern, das Passwort zurücksetzen und Zugriff auf das Konto erlangen.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-12073
• Für wen relevant: Unternehmen, die das WordPress-Plugin ProfileGrid – User Profiles, Groups and Communities einsetzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme administrativer Konten und damit die Kontrolle über die WordPress-Instanz.
• Quelle: NVD

Remote Code Execution in LLaMA-Factory

LLaMA-Factory bis Version 0.9.5 enthält eine Schwachstelle für Remotecodeausführung, die Angreifern mit Zugriff auf die WebUI ermöglicht, beliebigen Python-Code auszuführen. Durch das Bereitstellen eines manipulierten Modellpfads in den Chat- oder Trainingsinterfaces wird die Eingabe ungeprüft an AutoTokenizer.from_pretrained() und AutoModel.from_pretrained() mit dem hartcodierten Parameter trust_remote_code=True übergeben. Dies führt dazu, dass die Hugging Face transformers-Bibliothek beliebigen Code aus einem entfernten oder lokalen Modell-Repository mit den Rechten des Serverprozesses ausführt.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-58116
• Für wen relevant: Betreiber von LLaMA-Factory-Instanzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme des Servers und die Ausführung beliebiger Befehle mit den Rechten des Serverprozesses.
• Quelle: NVD

Arbitrary File Deletion im Export User Data WordPress-Plugin

Das WordPress-Plugin Export User Data ist in allen Versionen bis einschließlich 2.2.6 anfällig für das Löschen beliebiger Dateien aufgrund unzureichender Validierung von Dateipfaden in der unserialize-Funktion. Authentifizierte Angreifer mit Subscriber-Zugriff oder höher können so Dateien auf dem Server löschen, was bei gezielter Auswahl zu einer Remotecodeausführung führen kann. Voraussetzung ist, dass ein Administrator einen Benutzerdatenextrakt auslöst, während ein Subscriber ein manipuliertes serialisiertes XLSXWriter-Objekt als Anzeigenamen gespeichert hat.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-12240
• Für wen relevant: Unternehmen, die das WordPress-Plugin Export User Data einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Das Löschen kritischer Dateien wie wp-config.php kann die Integrität der WordPress-Installation gefährden und zu einer vollständigen Kompromittierung führen.
• Quelle: NVD

Keycloak – mehrere Stellen betroffen

Bei Keycloak sind mehrere sicherheitsrelevante Schwachstellen gemeldet:

1. Privilege Escalation in Keycloak durch Rollen-Injection

In Keycloak wurde eine Schwachstelle gefunden, bei der hochprivilegierte Benutzer mit der Berechtigung manage-clients eine hartcodierte Rollen-Zuordnung in jeden Client injizieren können. Dadurch lassen sich bestehende Bereichsbeschränkungen umgehen und der realm-admin-Rolle in generierte Tokens injizieren, was zu einer Privilegieneskalation und vollständigen administrativen Zugriff auf die Realm führt.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-4629
• Für wen relevant: Betreiber von Keycloak-Instanzen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Die Ausnutzung ermöglicht Angreifern die vollständige Kontrolle über die Authentifizierungs- und Autorisierungsinfrastruktur der betroffenen Realm.
• Quelle: NVD

2. Privilege Escalation in Keycloak durch IdP-Mapper

In Keycloak wurde eine Schwachstelle im Identity Provider (IdP) Mapper gefunden, der die Zuordnung von Benutzerinformationen aus externen Diensten zu Keycloak-Benutzern verwaltet. Ein Administrator mit eingeschränkten Berechtigungen kann einen Hardcoded Role-Mapper erstellen, der hochrangige administrative Rollen wie realm-admin an sich oder andere Benutzer zuweist. Dies umgeht Sicherheitsprüfungen und ermöglicht die vollständige Kontrolle über die Realm.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-12388
• Für wen relevant: Betreiber von Keycloak-Instanzen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Die Ausnutzung ermöglicht Angreifern die vollständige Übernahme der administrativen Kontrolle über die betroffene Realm.
• Quelle: NVD

Authorization Bypass in Capgo

Capgo vor Version 12.128.2 enthält eine Autorisierungs-Umgehungsschwachstelle im Endpunkt zur Kanalerstellung, die authentifizierten Benutzern ermöglicht, bestehende Kanäle zu überschreiben. Angreifer mit der Berechtigung app.create_channel können durch eine logische Inkonsistenz zwischen Existenzprüfung und Upsert-Operationen die Kanalbesitzrechte neu zuweisen und kritische Produktionskanal-Konfigurationen modifizieren.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-56249
• Für wen relevant: Betreiber von Capgo-Instanzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung ermöglicht Angreifern die Übernahme und Modifikation kritischer Kanal-Konfigurationen, was zu Datenverlust oder Manipulation führen kann.
• Quelle: NVD

Incorrect Authorization in Adobe Campaign Classic

Adobe Campaign Classic (ACC) in Versionen bis einschließlich 7.4.3 Build 9396 ist von einer falschen Autorisierungs-Schwachstelle betroffen, die zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung dieser Schwachstelle erfordert keine Benutzerinteraktion und der Angriffsbereich wurde erweitert.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-48286
• Für wen relevant: Betreiber von Adobe Campaign Classic. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die Ausführung beliebigen Codes mit den Rechten des aktuellen Benutzers, was zu einer vollständigen Kompromittierung des Systems führen kann.
• Quelle: NVD

IP-Based Access Bypass in Ocelot

Ocelot bis Version 24.1.0 enthält eine Schwachstelle zur Umgehung von Sicherheitskontrollen, die abgelehnten Clients ermöglicht, IP-basierte Zugriffsbeschränkungen zu umgehen. Durch das Senden von WebSocket-Upgrade-Anfragen wird die SecurityMiddleware in der WebSocket-Upgrade-Pipeline übergangen, sodass Anfragen von blockierten IP-Adressen an nachgelagerte Dienste weitergeleitet werden, ohne die konfigurierte Allow/Block-Liste durchzusetzen.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-58172
• Für wen relevant: Betreiber von Ocelot-Proxysystemen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung ermöglicht Angreifern den Zugriff auf geschützte Dienste, die eigentlich durch IP-basierte Zugriffsbeschränkungen geschützt sein sollten.
• Quelle: NVD

Unauthenticated RCE in Orkes Conductor

Orkes Conductor vor Version 3.30.2 enthält eine unauthentifizierte Schwachstelle für Remotecodeausführung, die Angreifern ermöglicht, beliebige Betriebssystembefehle auszuführen. Durch das Übermitteln von Inline-Workflow-Definitionen mit schädlichen JavaScript- oder Python-Ausdrücken an den Workflow-API-Endpunkt vor der Authentifizierung können unsandboxte GraalVM-Evaluatoren mit HostAccess.ALL oder allowAllAccess(true) über INLINE-, LAMBDA-, DO_WHILE- und SWITCH-Aufgabentypen beliebige Systembefehle über Java-Reflexion oder direkte Subprozessaufrufe aufrufen.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-58138
• Für wen relevant: Betreiber von Orkes Conductor. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme des Servers und die Ausführung beliebiger Befehle mit den Rechten des Serverprozesses.
• Quelle: NVD

IBM Langflow OSS – mehrere Stellen betroffen

Bei IBM Langflow OSS sind mehrere sicherheitsrelevante Schwachstellen gemeldet:

1. Shared-State Handling in IBM Langflow OSS

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 enthält eine unsachgemäße Handhabung des Shared State, die die Wiederverwendung von API-Clients über Mandantengrenzen hinweg ermöglicht. Ein authentifizierter Angreifer kann den Cache-Zustand manipulieren, um Anfragen anderer Benutzer mit falschen Upstream-API-Anmeldedaten zu verarbeiten. Dies führt zu falscher Abrechnung und Verantwortungszuweisung über Mandantengrenzen hinweg.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-10140
• Für wen relevant: Betreiber von IBM Langflow OSS. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff kann zu falscher Abrechnung, Datenlecks zwischen Mandanten und falscher Verantwortungszuweisung führen.
• Quelle: NVD

2. Credential Disclosure in IBM Langflow OSS durch schwache Verschlüsselung

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 enthält eine Schwachstelle, die die Offenlegung aller gespeicherten Anmeldedaten aufgrund der Verwendung eines schwachen und reversiblen Schlüsselerzeugungsverfahrens für die Verschlüsselung im Ruhezustand ermöglicht.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-7874
• Für wen relevant: Betreiber von IBM Langflow OSS. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff kann zur Offenlegung aller gespeicherten Anmeldedaten und damit zu einer vollständigen Kompromittierung der betroffenen Instanz führen.
• Quelle: NVD

3. Missing Authentication in IBM Langflow OSS Build-API

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.6 enthält eine fehlende Authentifizierungs-Schwachstelle in den Endpunkten /api/v1/build_public_tmp/. Ein unauthentifizierter Angreifer kann so Build-Ereignisdaten lesen oder Jobs mit einer gültigen Jobkennung abbrechen, was zu Informationspreisgabe und Denial of Service führt.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-10560
• Für wen relevant: Betreiber von IBM Langflow OSS. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht den unauthentifizierten Zugriff auf Build-Daten und die Störung von Build-Prozessen.
• Quelle: NVD

4. SSRF in IBM Langflow OSS durch veraltete Komponenten

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.6 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle in den veralteten Komponenten RSSReaderComponent in rss.py und SearXNGComponent in searxng.py. Diese Komponenten führen ungeprüfte HTTP-Anfragen an benutzerkontrollierte URLs aus und umgehen so SSRF-Schutzmaßnahmen, die in Version 1.9.3 eingeführt wurden. Ein authentifizierter Angreifer kann so auf interne Ressourcen einschließlich Cloud-Metadaten-Dienste (AWS/Azure/GCP IMDS) zugreifen, IAM-Anmeldedaten exfiltrieren und interne Netzwerke enumerieren. Die Schwachstelle kann auch über Prompt-Injection in agentischen Workflows aufgrund der exposure von tool_mode=True ausgelöst werden.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-10564
• Für wen relevant: Betreiber von IBM Langflow OSS. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht den Zugriff auf interne Ressourcen und die Exfiltrierung sensibler Daten wie IAM-Anmeldedaten.
• Quelle: NVD

5. SSRF Protection Bypass in IBM Langflow OSS API Request

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.3 enthält eine Schwachstelle zum Umgehen des SSRF-Schutzes in der API Request-Komponente. Ein authentifizierter Angreifer mit niedrigen Berechtigungen (Flow-Autor-Rolle) kann den SSRF-Schutz umgehen, indem er den Parameter follow_redirects aktiviert und eine öffentliche URL bereitstellt, die auf interne/localhost-Adressen weiterleitet. Die Schwachstelle existiert, weil die Anwendung nur die initiale URL validiert, aber Weiterleitungsziele nicht erneut überprüft. Dies ermöglicht den Zugriff auf interne HTTP-Dienste, localhost-Endpunkte, Cloud-Metadaten-Dienste und private Netzwerkressourcen, die bei aktiviertem SSRF-Schutz unerreichbar sein sollten. Ein erfolgreicher Angriff kann zur Offenlegung sensibler Informationen einschließlich Anmeldedaten, Tokens, interner API-Antworten und administrativer Panel-Daten führen.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-10129
• Für wen relevant: Betreiber von IBM Langflow OSS. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht den Zugriff auf interne Ressourcen und die Offenlegung sensibler Daten.
• Quelle: NVD

6. SSRF in IBM Langflow OSS durch DNS Rebinding

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.3 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle in der URL-Komponente (src/lfx/src/lfx/components/data_source/url.py) aufgrund einer Time-of-Check/Time-of-Use (TOCTOU)-Race-Condition, die über DNS Rebinding ausgenutzt werden kann.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-10546
• Für wen relevant: Betreiber von IBM Langflow OSS. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht den Zugriff auf interne Ressourcen über DNS Rebinding.
• Quelle: NVD

Reflected XSS in IBM WebSphere Application Server

IBM WebSphere Application Server in den Versionen 9.0 und 8.5 ist von einer reflected Cross-Site Scripting (XSS)-Schwachstelle in der integrierten Hilfefunktion der Administrationskonsole betroffen.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-11708
• Für wen relevant: Betreiber von IBM WebSphere Application Server. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff kann zu einer vollständigen Kompromittierung des Benutzerkontos oder der Session führen.
• Quelle: NVD

Remote Code Execution in txtai durch unsichere Reindex-API

txtai bis Version 9.10.0 enthält eine Schwachstelle für Remotecodeausführung in der API /reindex-Endpunkt, dessen Funktionskörperparameter über txtai.util.Resolver aufgelöst wird. Dieser führt __import__ und getattr auf den vom Aufrufer bereitgestellten dotted Pfad ohne eine Allowlist aus. Wenn die API ohne TOKEN konfiguriert ist (Authentifizierung ist optional, sodass alle Endpunkte unauthentifiziert sind) und der Index beschreibbar konfiguriert ist, kann ein Angreifer die Funktion auf ein beliebiges Callable wie subprocess.getoutput setzen und so Remotecodeausführung als Serverprozess während des Reindexierens erreichen. Die Ausnutzung erfordert diese Bereitstellungsbedingungen (API exponiert, kein TOKEN, beschreibbarer Index); sie ist nicht die Standardkonfiguration.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-58449
• Für wen relevant: Betreiber von txtai-Instanzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme des Servers und die Ausführung beliebiger Befehle mit den Rechten des Serverprozesses.
• Quelle: NVD

Authentication Bypass in Flowise durch hartcodierten Session-Secret

Flowise vor Version 3.1.0 (betroffene Versionen 3.0.13 und früher) verwendet ein schwaches hartcodiertes Standard-Secret ('flowise') für die express-session-Middleware, wenn die Umgebungsvariable EXPRESS_SESSION_SECRET nicht gesetzt ist. Da dieses Standard-Secret öffentlich im Quellcode sichtbar ist, können Angreifer gültige signierte Session-Cookies fälschen, um sich als beliebige Benutzer auszugeben und die Authentifizierung zu umgehen.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-56278
• Für wen relevant: Betreiber von Flowise-Instanzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme von Benutzerkonten und die Umgehung der Authentifizierung.
• Quelle: NVD

Multiple Code-Execution in Grav CMS

Grav CMS vor Version 2.0.0-beta.2 enthält mehrere Code-Ausführungs-Schwachstellen. Drei unsichere unserialize()-Aufrufe in Scheduler\JobQueue, Framework\Cache\Adapter\FileCache und Session deserialisieren unvertrauenswürdige Daten ohne Einschränkung der erlaubten Klassen, was zu PHP-Objekt-Injection und über eine Gadget-Chain zu beliebiger Codeausführung führt, wenn ein Angreifer die serialisierte Eingabe kontrolliert. Zusätzlich ermöglicht die InstallCommand-Funktion bei der Installation von Plugins/Themes die Ausführung von Betriebssystembefehlen durch unsichere Übergabe von Parametern in Shell-Befehle. Zudem existiert ein Twig-Sicherheits-Blocklist-Bypass (Server-Side Template Injection).

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-56700
• Für wen relevant: Betreiber von Grav CMS. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme des Servers und die Ausführung beliebiger Befehle mit den Rechten des Webservers.
• Quelle: NVD

Arbitrary JavaScript Execution in Crawl4AI

Crawl4AI vor Version 0.8.7 enthält eine Schwachstelle für die Ausführung beliebigen JavaScripts im Docker-API-Server-Endpunkt /execute_js, der beliebige Benutzereingaben akzeptiert und ausführt. Ein Angreifer kann so beliebigen JavaScript-Code im Kontext des Browsers des Servers ausführen und in Kombination mit den entspannten Sicherheitseinstellungen des Browsers Server-Side Request Forgery gegen interne Dienste durchführen.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-56264
• Für wen relevant: Betreiber von Crawl4AI-Instanzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht die Ausführung beliebigen Codes im Kontext des Servers und den Zugriff auf interne Dienste.
• Quelle: NVD

Sicherheitsmeldung (CVE-2026-56350)

Details und betroffene Versionen stehen in der verlinkten Quelle.

• Priorität: Hoch (kritisch)
• Datum: 30.06.2026
• CVE: CVE-2026-56350
• Für wen relevant: Teams mit KI-Agenten, Automatisierungen oder Entwickler-Tools mit Datei-/API-Zugriff. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: KI-Tools haben oft Zugriff auf Secrets und APIs; Lücken können Datenabfluss oder Codeausführung begünstigen.
• Quelle: NVD

GLib – mehrere Stellen betroffen

Bei GLib sind mehrere sicherheitsrelevante Schwachstellen gemeldet:

1. Denial of Service in GLib durch Off-by-One-Fehler

In GLib kann ein Off-by-One-Fehler in der Funktion g_key_file_get_locale_string_list beim Laden einer Schlüsseldatei mit einem leeren Wert auftreten. Dies führt zu einem Out-of-Bounds-Zugriff von einem Byte oder einem Denial of Service, wenn der Out-of-Bounds-Zugriff eine Seitengrenze überschreitet.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-58014
• Für wen relevant: Entwickler und Betreiber von Anwendungen, die GLib verwenden. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff kann zu einem Absturz der Anwendung oder des Systems führen, was die Verfügbarkeit beeinträchtigt.
• Quelle: NVD

2. Denial of Service in GLib durch Zustandsverwirrung

In GLib existiert ein Zustandsverwirrungsproblem in der Funktion g_dbus_node_info_new_for_xml() beim Verarbeiten von fehlerhaftem D-Bus-Introspektions-XML. Durch das Einbetten eines Elements in andere Elemente wie , oder kann ein unsigned Integer Overflow auftreten, der zu einem Out-of-Bounds-Read führt und einen Denial of Service verursacht.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-58016
• Für wen relevant: Entwickler und Betreiber von Anwendungen, die GLib und D-Bus verwenden. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff kann zu einem Absturz der Anwendung oder des Systems führen, was die Verfügbarkeit beeinträchtigt.
• Quelle: NVD

Path Traversal in OpenBMB ChatDev

OpenBMB ChatDev bis Version 2.2.0 enthält eine Path-Traversal-Schwachstelle, die unauthentifizierten Angreifern ermöglicht, beliebige Dateien zu schreiben oder zu löschen. Durch das Bereitstellen eines manipulierten Multipart-Dateinamens im Datei-Upload-Endpunkt oder eines absoluten Pfads an den POST /uploads/session-Endpunkt, der den Zielpfad ohne Sanitization in save_upload_file konstruiert, können Angreifer gezielt Pfade auf dem Server-Dateisystem anvisieren.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-58166
• Für wen relevant: Betreiber von OpenBMB ChatDev. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff kann zu Datenverlust, Manipulation oder der Ausführung beliebigen Codes führen.
• Quelle: NVD

Reflected XSS in Adobe ColdFusion

Adobe ColdFusion in den Versionen 2025.9, 2023.20 und früher ist von einer reflected Cross-Site Scripting (XSS)-Schwachstelle betroffen. Ein Angreifer kann diese Schwachstelle ausnutzen, um schädliche Skripte in eine Webseite einzubetten, was potenziell zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert Benutzerinteraktion, da das Opfer einen schädlichen Link öffnen muss.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-48307
• Für wen relevant: Betreiber von Adobe ColdFusion. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff kann zu einer vollständigen Kompromittierung des Benutzerkontos oder der Session führen.
• Quelle: NVD

Unauthenticated Report Export in JimuReport

JimuReport bis Version 2.5.0 stellt den Endpunkt POST /jmreport/auto/export ohne Authentifizierung bereit, da der Handler mit @JimuNoLoginRequired annotiert ist. Dadurch überspringt JimuReportTokenInterceptor alle Authentifizierungs- und Autorisierungsprüfungen, und der Exportdienst streamt den gerenderten Bericht für jede übergebene Bericht-ID ohne Überprüfung der Auto-Export-Konfigurationsflagge. Ein unauthentifizierter Angreifer kann so Snowflake-Berichtskennungen enumerieren und den vollständigen Inhalt beliebiger Berichte exportieren, einschließlich der Daten, die von den konfigurierten SQL-Abfragen der Berichte und beliebigen in den Datenquellen eingebetteten Anmeldedaten zurückgegeben werden.

• Priorität: Erhöht (hoch)
• Datum: 30.06.2026
• CVE: CVE-2026-58375
• Für wen relevant: Betreiber von JimuReport. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein erfolgreicher Angriff ermöglicht den unauthentifizierten Zugriff auf sensible Daten und Anmeldedaten, die in Berichten gespeichert sind.
• Quelle: NVD