Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
QueryWeaver: Authentifizierungsbypass durch unsichere Registrierung
QueryWeaver enthält eine Schwachstelle, die einen Authentifizierungsbypass ermöglicht. Unauthentisierte Angreifer können gültige Sitzungstoken für bestehende Konten erlangen, indem sie eine Registrierungsanfrage mit einer bekannten E-Mail-Adresse eines Opfers übermitteln. Die Registrierungsroute erstellt und verknüpft unkonditioniert ein neues Token mit der passenden Identität über eine Cypher-MERGE-Operation, bevor geprüft wird, ob die E-Mail zu einem bestehenden Konto gehört. Dadurch gibt der Server ein gültiges authentifiziertes Sitzungstoken für die Identität des Opfers zurück, ohne dass Anmeldedaten oder Benutzerinteraktion erforderlich sind.
- Priorität: Erhöht (hoch (CVSS 8.8))
- Datum: 18.07.2026
- CVE: CVE-2026-10130
- Für wen relevant: Unternehmen, die QueryWeaver einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten unbefugten Zugriff auf bestehende Konten erlangen und sensible Daten oder Funktionen manipulieren.
- Quelle: NVD
W3SC Elementor-Zoho-CRM-Plugin: Cross-Site-Request-Forgery-Lücke
Das WordPress-Plugin W3SC Elementor to Zoho CRM ist anfällig für Cross-Site-Request-Forgery (CSRF) in allen Versionen bis einschließlich 2.2.0. Ursache ist eine fehlende oder fehlerhafte Nonce-Validierung in der storeInfo-Funktion. Dadurch können unauthentisierte Angreifer die Zoho-CRM-Integrationsdaten des Plugins ändern, indem sie die konfigurierten Werte für Rechenzentrum, Client-ID, Client-Secret und E-Mail-Adresse durch attackerkontrollierte Werte ersetzen. Voraussetzung ist, dass ein Website-Administrator zu einer Aktion wie dem Klicken auf einen Link verleitet wird.
- Priorität: Beobachten (mittel (CVSS 4.3))
- Datum: 18.07.2026
- CVE: CVE-2026-9734
- Für wen relevant: Betreiber von WordPress-Websites mit installiertem W3SC Elementor to Zoho CRM-Plugin. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer könnten die CRM-Integration manipulieren und so unbefugten Zugriff auf Kundendaten oder Geschäftsprozesse erlangen.
- Quelle: NVD
Flow Payment für WordPress: Reflektierte XSS auf WooCommerce-Checkout
Das WordPress-Plugin Flow Payment (flow.cl) in Version 3.0.8 ist anfällig für reflektierte Cross-Site-Scripting (XSS)-Angriffe auf der WooCommerce-Checkout-Seite. Bei der Bearbeitung einer Bestellungsstornierung wird der error_message-Parameter aus der URL direkt an wc_add_notice() übergeben, ohne vorherige Eingabebereinigung oder Ausgabeescaped. Ein unauthentisierter Angreifer kann eine URL mit einem JavaScript-Payload im error_message-Parameter erstellen. Wird diese von einem Opfer mit aktiver WooCommerce-Checkout-Sitzung aufgerufen, führt der Payload im Browser des Opfers aus.
- Priorität: Beobachten (mittel (CVSS 5.1))
- Datum: 18.07.2026
- CVE: CVE-2026-57857
- Für wen relevant: Betreiber von WordPress-Websites mit installiertem Flow Payment-Plugin und aktiver WooCommerce-Checkout-Funktionalität. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer könnten im Kontext der Website Schadcode ausführen und so sensible Daten des Nutzers stehlen oder das System kompromittieren.
- Quelle: NVD
Microsoft-Kunden im Fokus von ACR-Stealer-Angriffen
Microsoft beobachtet eine Zunahme von Angriffen mit der ACR-Stealer-Malware, die darauf abzielt, in Browsern gespeicherte Passwörter, Authentifizierungstoken und sensible Dokumente von Unternehmensnutzern zu stehlen. Zwischen Ende April und Mitte Juni nutzte der Bedrohungsakteur unter anderem die ClickFix-Social-Engineering-Methode, WebDAV-Server und das MSHTA-Tool, um die Infostealer-Payload zu verbreiten. ACR Stealer wird als Malware-as-a-Service (MaaS) angeboten und gilt als Rebranding der Amatera-Stealer-Malware.
- Priorität: Beobachten (mittel / informativ)
- Datum: 18.07.2026
- Für wen relevant: Microsoft-Unternehmenskunden, insbesondere solche mit sensiblen Daten in Browsern oder lokalen Systemen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer könnten vertrauliche Informationen wie Zugangsdaten oder Dokumente entwenden und für weitere Angriffe missbrauchen.
- Quelle: BleepingComputer
Schwachstelle im urwid-Webdisplay-Backend durch unsichere Session-ID-Generierung
Das urwid-Webdisplay-Backend (urwid/display/web.py) erzeugt Web-Session-IDs in der Methode Screen.start() durch die Verkettung zweier Aufrufe von random.randrange(10**9), die den nicht kryptografisch sicheren Mersenne-Twister-PRNG von Python nutzen. Die Session-ID wird zusätzlich als Dateiname eines FIFO in einem weltweit lesbaren /tmp-Verzeichnis abgelegt. Durch Beobachtung oder Auslesen der Session-IDs können Angreifer den internen Zustand des PRNG rekonstruieren und alle vergangenen sowie zukünftigen Session-IDs vorhersagen. Zudem können lokale Nutzer aktive Session-Tokens über das /tmp-Verzeichnis auslesen.
- Priorität: Hoch (kritisch (CVSS 9.2))
- Datum: 18.07.2026
- CVE: CVE-2026-9323
- Für wen relevant: Unternehmen und Entwickler, die das urwid-Webdisplay-Backend in ihren Anwendungen einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Mit einer gültigen Session-ID können Angreifer den Terminal-Bildschirm des Opfers auslesen, Tastatureingaben injizieren – was bei Shell-Sitzungen zur Ausführung von Befehlen mit den Rechten des Session-Besitzers führt – oder die Session durch gezielte Angriffe beenden oder zum Absturz bringen.
- Quelle: NVD
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
