Security-Briefing 03.–06.07.2026: Kritische Schwachstellen in WordPress-Plugins und Microsoft Edge

Coolify: Kritische Remote-Code-Ausführung möglich

Im GitHub-Repository von Coolify, einer Open-Source-Plattform fürs Self-Hosting, stehen zahlreiche Sicherheitshinweise bereit. Fünf der darin beschriebenen Lücken wurden als kritisch eingestuft. Angreifer mit geringen Zugriffsprivilegien könnten sie unter bestimmten Voraussetzungen missbrauchen, um aus der Ferne schädlichen Code auszuführen, unbefugt auf Ressourcen zuzugreifen oder Daten zu exfiltrieren. Die Advisories enthalten detaillierte Lückenbeschreibungen und Proofs-of-Concept. Admins sollten zeitnah die Übersicht prüfen und verfügbare Aktualisierungen vornehmen. Über Angriffe in freier Wildbahn ist bislang nichts bekannt.

• Priorität: Hoch (kritisch)
• Datum: 06.07.2026
• CVE: CVE-2026-34038
• Für wen relevant: Unternehmen, die die Self-Hosting-Plattform Coolify einsetzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Mögliche Folgen sind Remote Code Execution, unbefugter Ressourcenzugriff oder Datenexfiltration.
• Quelle: heise.de

Gitea: Privilegieneskalation und Datenmanipulation möglich

Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Gitea ausnutzen, um seine Privilegien zu erhöhen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand zu verursachen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Betreiber von Gitea-Instanzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Mögliche Folgen sind Privilegieneskalation, Datenmanipulation, Informationspreisgabe oder Dienstverweigerung.
• Quelle: BSI CERT-Bund

Apache HTTP Server: Codeausführung und DoS möglich

Ein Angreifer kann mehrere Schwachstellen im Apache HTTP Server ausnutzen, um erweiterte Privilegien zu erlangen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand zu verursachen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Betreiber von Apache-HTTP-Server-Instanzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Mögliche Folgen sind Codeausführung, Privilegieneskalation, Informationspreisgabe oder Dienstverweigerung.
• Quelle: BSI CERT-Bund

NGINX und NGINX Plus: Codeausführung und DoS möglich

Ein Angreifer kann mehrere Schwachstellen in NGINX und NGINX Plus ausnutzen, um Daten zu manipulieren, beliebigen Code auszuführen, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Betreiber von NGINX- oder NGINX-Plus-Instanzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Mögliche Folgen sind Codeausführung, Datenmanipulation, Informationspreisgabe oder Dienstverweigerung.
• Quelle: BSI CERT-Bund

Formbricks: Unzureichende Zugriffskontrolle in Survey Handler

In Formbricks 5.0.0 wurde eine Sicherheitslücke im Survey Handler entdeckt. Die Schwachstelle ermöglicht eine unsachgemäße Zugriffskontrolle. Ein entfernter Angriff ist möglich. Durch ein Update auf Version 5.1.0-rc.1 kann das Problem behoben werden.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• CVE: CVE-2026-14792
• Für wen relevant: Unternehmen, die Formbricks zur Erstellung von Umfragen nutzen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Mögliche Folge ist ein unbefugter Zugriff auf Umfragedaten oder -funktionen.
• Quelle: NVD

Craft CMS – mehrere Stellen betroffen

Bei Craft CMS sind mehrere sicherheitsrelevante Schwachstellen gemeldet:

1. Craft CMS: Autorisierungsbypass im reorder-sets Endpoint

In Craft CMS bis Version 4.18.0.1 wurde eine Schwachstelle im reorder-sets Endpoint entdeckt. Die Manipulation führt zu einem Autorisierungsbypass. Der Angriff kann remote ausgeführt werden. Ein Update auf Version 4.18.1 behebt das Problem.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• CVE: CVE-2026-14793
• Für wen relevant: Betreiber von Craft-CMS-Instanzen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Mögliche Folge ist ein unbefugter Zugriff auf CMS-Funktionen oder -Daten.
• Quelle: NVD

2. Craft CMS: Unzureichende Autorisierung im Charts Endpoint

In Craft CMS bis Version 4.18.0.1 wurde eine Schwachstelle im Charts Endpoint entdeckt. Die Manipulation des Arguments userGroupId führt zu einer unsachgemäßen Autorisierung. Der Angriff kann remote ausgeführt werden. Ein Update auf Version 4.18.1 behebt das Problem.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• CVE: CVE-2026-14794
• Für wen relevant: Betreiber von Craft-CMS-Instanzen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Mögliche Folge ist ein unbefugter Zugriff auf Nutzer- oder Chart-Daten.
• Quelle: NVD

Ruby und Ruby on Rails: Codeausführung durch Schwachstelle

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Ruby und Ruby on Rails ausnutzen, um Sicherheitsmaßnahmen zu umgehen und so beliebigen Code auszuführen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Entwickler und Betreiber von Ruby- oder Ruby-on-Rails-Anwendungen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Mögliche Folge ist die Ausführung beliebigen Programmcodes auf dem betroffenen System.
• Quelle: BSI CERT-Bund

Apache Camel: Codeausführung und Server-Side-Request-Forgery möglich

Ein Angreifer kann mehrere Schwachstellen in Apache Camel ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, serverseitige Request-Forgery durchzuführen, vertrauliche Informationen offenzulegen oder Daten zu manipulieren.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Betreiber von Apache-Camel-Instanzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Mögliche Folgen sind Codeausführung, SSRF, Informationspreisgabe oder Datenmanipulation.
• Quelle: BSI CERT-Bund

Adobe ColdFusion: Kritische Lücke wird aktiv ausgenutzt

Angreifer nutzen eine Schwachstelle mit höchster Bewertung in Adobe ColdFusion aus, die als CVE-2026-48282 verfolgt wird. Die Lücke ermöglicht die Ausführung von beliebigem Programmcode auf nicht gepatchten Systemen, ohne dass Angreifer über Privilegien verfügen müssen. Adobe hat Sicherheitsupdates veröffentlicht und rät zur sofortigen Installation, da das Risiko einer Ausnutzung als hoch eingestuft wird.

• Priorität: Hoch (kritisch)
• Datum: 06.07.2026
• CVE: CVE-2026-48282
• Für wen relevant: Unternehmen, die Adobe ColdFusion zur Entwicklung und Bereitstellung von Webanwendungen einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung kann zu einer vollständigen Kompromittierung der betroffenen Systeme führen.
• Quelle: bleepingcomputer.com

Google Chrome: Mehrere Schwachstellen ermöglichen Codeausführung

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Google Chrome ausnutzen, um beliebigen Programmcode auszuführen, einen Denial of Service zu verursachen oder Sicherheitsmaßnahmen zu umgehen. Die genauen Auswirkungen und betroffenen Versionen werden nicht näher spezifiziert.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Nutzer und Unternehmen, die Google Chrome als Webbrowser einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung kann zu einer vollständigen Übernahme des Systems oder zu Dienstunterbrechungen führen.
• Quelle: BSI CERT-Bund

n8n: Schwachstelle ermöglicht Codeausführung

Ein Angreifer kann eine Schwachstelle in n8n ausnutzen, um beliebigen Programmcode auszuführen. Dies kann zu Datenexfiltration, Dienstunterbrechungen oder einer vollständigen Kompromittierung des Systems führen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Unternehmen, die n8n zur Automatisierung von Workflows einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung kann zu einem Verlust vertraulicher Daten oder zu einem Ausfall kritischer Prozesse führen.
• Quelle: BSI CERT-Bund

Microsoft Windows und Windows Server: Mehrere Schwachstellen

Ein Angreifer kann mehrere Schwachstellen in Microsoft Windows und Windows Server ausnutzen, um seine Privilegien zu erhöhen, beliebigen Programmcode auszuführen, einen Denial of Service Angriff durchzuführen, Sicherheitsvorkehrungen zu umgehen, Informationen offenzulegen oder falsche Informationen darzustellen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Betreiber von Systemen, die Microsoft Windows oder Windows Server einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung kann zu einer vollständigen Übernahme der Systeme oder zu Datenverlust führen.
• Quelle: BSI CERT-Bund

Microsoft Edge: Mehrere Schwachstellen

Ein Angreifer kann mehrere Schwachstellen in Microsoft Edge ausnutzen, um erweiterte Berechtigungen zu erlangen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Spoofing- und Cross-Site-Scripting-Angriffe durchzuführen, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge als Webbrowser einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung kann zu einer vollständigen Übernahme des Browsers oder zu Datenverlust führen.
• Quelle: BSI CERT-Bund

OpenVPN: Mehrere Schwachstellen ermöglichen Codeausführung

Ein lokaler Angreifer kann mehrere Schwachstellen in OpenVPN ausnutzen, um beliebigen Programmcode auszuführen, Daten zu manipulieren oder einen Denial-of-Service-Zustand zu verursachen.

• Priorität: Erhöht (hoch)
• Datum: 06.07.2026
• Für wen relevant: Betreiber von VPN-Verbindungen, die OpenVPN einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Die Ausnutzung kann zu einer Kompromittierung der VPN-Verbindung oder zu einem Ausfall der Netzwerkinfrastruktur führen.
• Quelle: BSI CERT-Bund

Roundcube Webmail: Schwachstellen in Version 1.7.2 behoben

Diese Version behebt eine Endlosschleife im TNEF-Decoder, verschiedene Schwachstellen im Passwort-Plugin, eine gespeicherte Cross-Site-Scripting-Lücke durch nicht maskierte MIME-Typen, eine SSRF-Umgehung über lokale Adress-URLs sowie eine Zero-Click-stored-XSS-Lücke bei der Plain-Text-Wiedergabe. Zudem wird ein Denial-of-Service durch manipulierte komprimierte RTF-Dateien behoben.

• Priorität: Erhöht (hoch)
• Datum: 05.07.2026
• CVE: CVE-2026-54432, CVE-2026-54433
• Für wen relevant: Betreiber von Roundcube Webmail-Instanzen, insbesondere in produktiven Umgebungen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Die Ausnutzung der Lücken kann zu Datenverlust, unautorisiertem Zugriff oder Dienstunterbrechungen führen.
• Quelle: Roundcube

Keycloak: Falsche Synchronisation des email_verified-Claims

Ein Fehler im OIDC-Broker von Keycloak führt dazu, dass das email_verified-Claim falsch synchronisiert wird. Wenn ein OIDC-Identitätsanbieter mit trustEmail=true konfiguriert ist und der Userinfo-Endpunkt aktiviert ist, wird der email_verified-Status ausschließlich aus dem id_token übernommen, ohne zu prüfen, ob er zur zurückgegebenen E-Mail-Adresse gehört. Dies kann zu einer falschen Markierung von E-Mail-Adressen als verifiziert führen.

• Priorität: Beobachten (mittel / informativ)
• Datum: 05.07.2026
• CVE: CVE-2026-14781
• Für wen relevant: Unternehmen, die Keycloak als Identitäts- und Zugriffsmanagement-System mit OIDC-Integration einsetzen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Die Ausnutzung kann zu einem Umgehen von E-Mail-basierten Sicherheitskontrollen oder zu einer Übernahme von Konten führen.
• Quelle: NVD

Arbitrary File Deletion in Printcart Web to Print Product Designer für WooCommerce

Das WordPress-Plugin Printcart Web to Print Product Designer für WooCommerce ist bis einschließlich Version 2.5.2 anfällig für willkürliche Dateilöschungen. Ursache ist eine unzureichende Pfadvalidierung in der Funktion store_design_data(), die einen Dateisystempfad aus dem unsicheren POST-Parameter ’nbd_item_key‘ konstruiert. Dieser wird direkt an Nbdesigner_IO::delete_folder() und PHP-Funktionen wie rename() übergeben. Der für die Aktion nbd_save_customer_design erforderliche Nonce kann von unauthentifizierten Nutzern über den Endpunkt nbd_check_use_logged_in ausgelesen werden.

• Priorität: Hoch (kritisch)
• Datum: 03.07.2026
• CVE: CVE-2026-9725
• Für wen relevant: Unternehmen, die das Plugin Printcart Web to Print Product Designer für WooCommerce in ihrer WordPress-Installation einsetzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Unauthentifizierte Angreifer können beliebige Dateien auf dem Server löschen, was möglicherweise zu einer Remote-Code-Ausführung führen kann.
• Quelle: NVD

Directory Traversal im AR für WordPress-Plugin

Das WordPress-Plugin AR für WordPress ist bis einschließlich Version 8.40 anfällig für Directory Traversal. Die Schwachstelle wird über den Parameter ‚file‘ ausgelöst und ermöglicht unauthentifizierten Angreifern das Auslesen beliebiger Dateiinhalte auf dem Server, die sensible Informationen enthalten können. Voraussetzung ist das Beschaffen eines gültigen Nonce, was über die öffentlich zugänglichen Endpunkte ar_get_fresh_nonce und ar_process_user_image nopriv möglich ist. Zudem muss der Angreifer den Verschlüsselungsschlüssel lokal reproduzieren, was bei nicht lizenzierten Installationen mit unsetztem ar_licence_key einfach umsetzbar ist.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-14327
• Für wen relevant: Betreiber von WordPress-Websites, die das Plugin AR für WordPress installiert haben. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können sensible Dateien auslesen, die vertrauliche Informationen enthalten.
• Quelle: NVD

Stored XSS im NEX-Forms – Ultimate Forms Plugin für WordPress

Das WordPress-Plugin NEX-Forms – Ultimate Forms ist bis einschließlich Version 9.2.2 anfällig für Stored Cross-Site Scripting. Die Schwachstelle entsteht durch unzureichende Eingabebereinigung und Ausgabe-Escape-Mechanismen im Parameter ‚real_val__‘. Unauthentifizierte Angreifer können so schädliche Web-Skripte in Seiten injizieren, die bei jedem Aufruf der betroffenen Seite ausgeführt werden. Die Endpunkte für die Formularübermittlung sind über wp_ajax_nopriv_submit_nex_form ohne Nonce-Verifikation zugänglich.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-13040
• Für wen relevant: Unternehmen, die das Plugin NEX-Forms – Ultimate Forms in ihrer WordPress-Installation nutzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können schädliche Skripte in Webseiten einschleusen, die bei Besuchern ausgeführt werden.
• Quelle: NVD

Directory Traversal im AR für WooCommerce-Plugin

Das WordPress-Plugin AR für WooCommerce ist bis einschließlich Version 8.40 anfällig für Directory Traversal. Über den Parameter ‚file‘ können unauthentifizierte Angreifer beliebige Dateiinhalte auf dem Server auslesen, die sensible Informationen enthalten. Die vorgesehenen Zugriffskontrollen scheitern, da Nonces frei generiert werden können, der Verschlüsselungsschlüssel vorhersehbar ist und die Referer-Prüfung durch die Angreifer umgangen werden kann.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-14352
• Für wen relevant: Unternehmen, die das Plugin AR für WooCommerce in ihrer WordPress-Installation einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können vertrauliche Dateien auslesen, die sensible Daten enthalten.
• Quelle: NVD

Stored XSS im wpDiscuz-Plugin für WordPress

Das WordPress-Plugin Comments – wpDiscuz ist bis einschließlich Version 7.6.56 anfällig für Stored Cross-Site Scripting. Die Schwachstelle entsteht durch unzureichende Ausgabe-Escape-Mechanismen in der Funktion getCommentAuthor(), die den gespeicherten Wert comment_author_url direkt in HTML-Attribute einfügt, ohne Escaping durchzuführen. Unauthentifizierte Angreifer können so schädliche Web-Skripte in Seiten injizieren, die bei jedem Aufruf der betroffenen Seite ausgeführt werden.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-9148
• Für wen relevant: Unternehmen, die das Plugin Comments – wpDiscuz in ihrer WordPress-Installation nutzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können schädliche Skripte in Webseiten einschleusen, die bei Besuchern ausgeführt werden.
• Quelle: NVD

Microsoft Edge (Chromium-basiert) – mehrere Stellen betroffen

Bei Microsoft Edge (Chromium-basiert) sind mehrere sicherheitsrelevante Schwachstellen gemeldet:

1. Type Confusion in Microsoft Edge (Chromium-basiert)

Microsoft Edge (Chromium-basiert) ist anfällig für eine Type-Confusion-Schwachstelle, die es unauthentifizierten Angreifern ermöglicht, Code über das Netzwerk auszuführen.

• Priorität: Hoch (kritisch)
• Datum: 03.07.2026
• CVE: CVE-2026-58289
• Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge (Chromium-basiert) in ihren Umgebungen einsetzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Angreifer können beliebigen Code auf dem System ausführen, was zu vollständiger Kompromittierung führen kann.
• Quelle: NVD

2. Relative Path Traversal in Microsoft Edge (Chromium-basiert)

Microsoft Edge (Chromium-basiert) ist anfällig für eine Relative-Path-Traversal-Schwachstelle, die es unauthentifizierten Angreifern ermöglicht, Code über das Netzwerk auszuführen.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-57988
• Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge (Chromium-basiert) in ihren Umgebungen einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können beliebigen Code auf dem System ausführen, was zu vollständiger Kompromittierung führen kann.
• Quelle: NVD

3. Use-After-Free in Microsoft Edge (Chromium-basiert)

Microsoft Edge (Chromium-basiert) ist anfällig für eine Use-After-Free-Schwachstelle, die es unauthentifizierten Angreifern ermöglicht, Code über das Netzwerk auszuführen.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-58288
• Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge (Chromium-basiert) in ihren Umgebungen einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können beliebigen Code auf dem System ausführen, was zu vollständiger Kompromittierung führen kann.
• Quelle: NVD

4. Improper Authorization in Microsoft Edge (Chromium-basiert)

Microsoft Edge (Chromium-basiert) enthält eine Schwachstelle bei der Autorisierung, die es unauthentifizierten Angreifern ermöglicht, Code über das Netzwerk auszuführen.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-58284
• Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge (Chromium-basiert) in ihren Umgebungen einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können beliebigen Code auf dem System ausführen, was zu vollständiger Kompromittierung führen kann.
• Quelle: NVD

5. Use-After-Free in Microsoft Edge (Chromium-basiert)

Microsoft Edge (Chromium-basiert) ist anfällig für eine Use-After-Free-Schwachstelle, die es unauthentifizierten Angreifern ermöglicht, Code über das Netzwerk auszuführen.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-58287
• Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge (Chromium-basiert) in ihren Umgebungen einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können beliebigen Code auf dem System ausführen, was zu vollständiger Kompromittierung führen kann.
• Quelle: NVD

Heap Buffer Overflow in GIMPs PSP-Dateiformat-Parser

GIMPs Parser für Paint Shop Pro (PSP)-Dateiformate enthält eine Heap-Buffer-Overflow-Schwachstelle. Ein entfernter Angreifer kann durch das Öffnen einer speziell präparierten PSP-Datei willkürlichen Code ausführen oder einen Denial-of-Service (DoS) auslösen. Die Schwachstelle entsteht durch falsche Puffergrößenberechnungen bei der Verarbeitung von Bildern mit geringer Bit-Tiefe.

• Priorität: Erhöht (hoch)
• Datum: 03.07.2026
• CVE: CVE-2026-58379
• Für wen relevant: Nutzer und Unternehmen, die GIMP zur Bearbeitung von PSP-Dateien verwenden. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können beliebigen Code ausführen oder das System durch einen DoS lahmlegen.
• Quelle: NVD

Unzureichende Erkennung bösartiger Pickle-Dateien in picklescan

Die Software picklescan vor Version 0.0.30 erkennt bösartige Pickle-Dateien nicht, die über idlelib.run.Executive.runcode in reduce-Methoden eingebetteten Code enthalten. Angreifer können so undetektierten Code in Pickle-Dateien platzieren, der während pickle.load ausgeführt wird. Dies ermöglicht Remote-Code-Ausführung in PyTorch-Modellen und Supply-Chain-Angriffe.

• Priorität: Hoch (kritisch)
• Datum: 04.07.2026
• CVE: CVE-2025-71342
• Für wen relevant: Entwickler und Unternehmen, die picklescan zur Überprüfung von Pickle-Dateien in Python-Umgebungen einsetzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Angreifer können Code in Pickle-Dateien einschleusen, der bei der Verarbeitung ausgeführt wird und zu Kompromittierung oder Supply-Chain-Angriffen führt.
• Quelle: NVD