Aktuelle sicherheitsrelevante Meldungen aus offiziellen Quellen, eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Speziell IT-Sicherheitsmeldungen für KMU stehen dabei im Fokus. Technische Details stehen jeweils in der verlinkten Quelle.
Cisco Unified Communications Manager: SSRF-Schwachstelle
Cisco Unified Communications Manager und die Session Management Edition enthalten eine Server-Side Request Forgery (SSRF) Schwachstelle. Ein nicht authentifizierter, entfernter Angreifer kann Dateien auf das zugrunde liegende Betriebssystem schreiben. Dies kann genutzt werden, um die Rechte bis auf Root-Ebene zu eskalieren. Die Schwachstelle wird aktiv ausgenutzt.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 25.06.2026
- CVE: CVE-2026-20230
- Für wen relevant: Unternehmen, die Cisco Unified Communications Manager oder Cisco Unified Communications Manager Session Management Edition einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Es besteht das Risiko einer vollständigen Systemübernahme durch Rechteausweitung auf Root-Ebene.
- Quelle: CISA KEV
ChromeOS: Sicherheitsupdates für LTS-Kanal
Für die meisten ChromeOS-Geräte wird die neue LTS-Version 144.0.7559.256 ausgerollt. Das Update enthält zahlreiche Sicherheitskorrekturen. Dazu gehören unter anderem kritische Schwachstellen wie Out-of-bounds-Reads in Blink sowie diverse Use-after-free-Fehler. Auch Probleme durch unzureichende Validierung von Eingaben wurden behoben.
- Priorität: Hoch (kritisch)
- Datum: 25.06.2026
- CVE: CVE-2026-12034, CVE-2026-7922, CVE-2026-13033, CVE-2026-9970, CVE-2026-10969, CVE-2026-10003, CVE-2026-9933, CVE-2026-9993, CVE-2026-9961, CVE-2026-9995, CVE-2026-12439, CVE-2026-10905, CVE-2026-8557, CVE-2026-9903, CVE-2026-7339, CVE-2026-8559, CVE-2026-6920, CVE-2026-8524, CVE-2026-10007, CVE-2026-12008, CVE-2026-12440
- Für wen relevant: Betreiber von ChromeOS-Geräten im Long Term Support Kanal. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Die Schwachstellen können zu Systeminstabilität oder zur Ausführung von Schadcode führen.
- Quelle: Chrome Releases
Flowise: Schwachstelle für beliebigen Dateizugriff
Flowise-Versionen vor 3.0.6 enthalten eine Schwachstelle, die den Zugriff auf beliebige Dateien ermöglicht. Ursache ist eine fehlende Validierung der Parameter chatflowId und chatId. Angreifer können durch Pfad-Traversierung Dateien schreiben oder lesen. Dies kann zur Ausführung von entferntem Schadcode führen.
- Priorität: Hoch (kritisch)
- Datum: 25.06.2026
- CVE: CVE-2025-71334
- Für wen relevant: Nutzer von Flowise in Versionen 2.2.8 und früher. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten auslesen oder durch Dateimanipulation Schadcode ausführen.
- Quelle: NVD
Flowise: Remote Code Execution in Custom MCP
Flowise vor Version 3.0.6 weist eine Schwachstelle für Remote Code Execution in der Custom MCP-Funktion auf. Da das System standardmäßig ohne Authentifizierung läuft, können Angreifer manipulierte JSON-Payloads senden. Dies ermöglicht die Ausführung beliebiger Betriebssystembefehle. In der Folge kann die gesamte Plattform oder der Server kompromittiert werden.
- Priorität: Hoch (kritisch)
- Datum: 25.06.2026
- CVE: CVE-2025-71336
- Für wen relevant: Nutzer von Flowise in Versionen 2.2.7-patch.1 und früher. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Es droht die vollständige Kompromittierung des Servers oder des Plattform-Containers.
- Quelle: NVD
Capgo: SSO-Account-Takeover-Schwachstelle
Capgo vor Version 12.128.2 enthält eine Schwachstelle im Endpunkt provision-user, die eine Account-Übernahme ermöglicht. Angreifer können Opfer-Accounts durch E-Mail-Abgleich zusammenführen, ohne dass die SSO-Autorisierung validiert wird. Mit einem manipulierten Identitätsanbieter können SAML-Assertions gefälscht werden. Dies gewährt vollen Zugriff auf fremde Konten und Organisationsdaten.
- Priorität: Hoch (kritisch)
- Datum: 24.06.2026
- CVE: CVE-2026-56223
- Für wen relevant: Unternehmen, die Capgo vor Version 12.128.2 einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Unbefugte können die Kontrolle über Benutzerkonten und sensible Organisationsdaten erlangen.
- Quelle: NVD
Flowise: Authentifizierungsumgehung bei Registrierung
Flowise enthält eine Schwachstelle im ungeschützten Endpunkt /api/v1/account/register. Nicht authentifizierte Angreifer können darüber Benutzerkonten erstellen. Dies ermöglicht den Zugriff auf das System ohne gültige Anmeldedaten. Angreifer erhalten so vollen API-Zugriff.
- Priorität: Hoch (kritisch)
- Datum: 25.06.2026
- CVE: CVE-2025-71327
- Für wen relevant: Betreiber von Flowise-Instanzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Unbefugte können sich vollen API-Zugriff auf das System verschaffen.
- Quelle: NVD
Flowise: Pfad-Traversierung für Dateischreibzugriffe
Flowise enthält eine Pfad-Traversierungsschwachstelle im Endpunkt /api/v1/document-store/loader/process. Angreifer können durch manipulierte Dateinamen kritische Systemdateien überschreiben. Dies kann beim Neustart der Anwendung zur Ausführung von Schadcode führen. Die Schwachstelle ist ohne Authentifizierung ausnutzbar.
- Priorität: Hoch (kritisch)
- Datum: 25.06.2026
- CVE: CVE-2025-71338
- Für wen relevant: Betreiber von Flowise-Instanzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Durch das Überschreiben kritischer Dateien kann Schadcode zur Ausführung gebracht werden.
- Quelle: NVD
picklescan: Erkennung von Schadcode in Pickle-Dateien
Die Versionen von picklescan vor 0.0.29 erkennen keine bösartigen Aufrufe in Pickle-Dateien. Angreifer können Schadcode in diese Dateien einbetten. Beim Laden der Dateien über pickle.load() wird der eingebettete Code ausgeführt. Dies ermöglicht eine Remote Code Execution.
- Priorität: Hoch (kritisch)
- Datum: 24.06.2026
- CVE: CVE-2025-71361
- Für wen relevant: Entwickler und Administratoren, die picklescan vor Version 0.0.29 verwenden. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Es besteht die Gefahr der Ausführung von Schadcode beim Verarbeiten von Pickle-Dateien.
- Quelle: NVD
Flowise: Fehlende Authentifizierung bei SSO-Konfiguration
Flowise vor Version 3.1.0 enthält eine Schwachstelle im Endpunkt /api/v1/loginmethod. Nicht authentifizierte Benutzer können die vollständige SSO-Konfiguration einer Organisation abrufen. Dies beinhaltet OAuth-Client-Secrets im Klartext. Betroffen sind sowohl FlowiseAI Cloud als auch selbst gehostete Instanzen.
- Priorität: Hoch (kritisch)
- Datum: 24.06.2026
- CVE: CVE-2026-56270
- Für wen relevant: Nutzer von Flowise in Versionen 3.0.13 und früher. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können sensible API-Zugangsdaten für Dienste wie Google, Microsoft oder GitHub entwenden.
- Quelle: NVD
Flowise: Schwaches Standardgeheimnis für JWT-Token
Flowise vor Version 3.1.0 verwendet ein schwaches, hartcodiertes Standardgeheimnis für die Umgebungsvariable TOKEN_HASH_SECRET. Dieses Geheimnis wird zur Verschlüsselung von Benutzer- und Arbeitsbereichs-IDs in JWT-Token genutzt. Ein Angreifer kann diese Metadaten entschlüsseln und manipulieren. Dies unterstützt die Privilegieneskalation oder den unbefugten Datenzugriff.
- Priorität: Hoch (kritisch)
- Datum: 24.06.2026
- CVE: CVE-2026-56269
- Für wen relevant: Nutzer von Flowise in Versionen 3.0.13 und früher. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die Offenlegung interner Identifikatoren kann zu unbefugtem Zugriff oder Privilegieneskalation führen.
- Quelle: NVD
Apache NiFi: Fehlende Autorisierung bei Prozessgruppen
Apache NiFi 1.12.0 bis 2.9.0 weist eine fehlende Autorisierung beim Ersetzen von Prozessgruppen auf. Das System prüft nicht den Status von Komponenten mit eingeschränkten Berechtigungen. Benutzer mit allgemeinem Schreibzugriff können dadurch Komponenten mit eingeschränktem Status hinzufügen. Ein Upgrade auf Version 2.9.0 wird empfohlen.
- Priorität: Erhöht (hoch)
- Datum: 24.06.2026
- CVE: CVE-2026-44914
- Für wen relevant: Betreiber von Apache NiFi in den Versionen 1.12.0 bis 2.9.0. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Benutzer können unbefugt Komponenten mit erweiterten Rechten hinzufügen.
- Quelle: NVD
WordPress ARForms: Stored Cross-Site Scripting
Das WordPress-Plugin ARForms ist in allen Versionen bis einschließlich 7.1.3 anfällig für Stored Cross-Site Scripting. Die Schwachstelle liegt im Parameter value der AJAX-Aktion arf_save_incomplete_form_data. Aufgrund mangelnder Eingabevalidierung können Angreifer Skripte injizieren. Diese werden ausgeführt, sobald ein Administrator die Seite für unvollständige Formulareinträge aufruft.
- Priorität: Erhöht (hoch)
- Datum: 24.06.2026
- CVE: CVE-2026-3652
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin ARForms einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können bösartige Skripte im Kontext eines Administrators ausführen.
- Quelle: NVD
Flowise: SQL-Injection in importChatflows
Flowise bis Version 2.2.7 enthält eine SQL-Injection-Schwachstelle in der API importChatflows. Aufgrund unzureichender Validierung der chatflow.id kann ein authentifizierter Benutzer manipulierte JSON-Dateien importieren. Dies ermöglicht die Ausführung beliebiger SQL-Befehle. So können Daten aus der Anmeldedaten-Tabelle extrahiert werden.
- Priorität: Erhöht (hoch)
- Datum: 24.06.2026
- CVE: CVE-2025-71332
- Für wen relevant: Nutzer von Flowise bis Version 2.2.7. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Es besteht das Risiko der unbefugten Extraktion sensibler Datenbankinformationen.
- Quelle: NVD
WordPress Dokan Pro: SQL-Injection
Das WordPress-Plugin Dokan Pro ist in allen Versionen bis einschließlich 5.0.4 anfällig für eine zeitbasierte SQL-Injection. Betroffen sind die Parameter latitude und longitude. Aufgrund mangelnder Maskierung können Angreifer zusätzliche SQL-Abfragen einschleusen. Dies ermöglicht das Auslesen sensibler Datenbankinformationen.
- Priorität: Erhöht (hoch)
- Datum: 25.06.2026
- CVE: CVE-2026-12077
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Dokan Pro einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten aus der Datenbank extrahieren.
- Quelle: NVD
Google Chrome: Sicherheitsupdate für Desktop
Der Stable-Kanal von Google Chrome wurde auf Version 149.0.7827.200/201 aktualisiert. Das Update enthält drei Sicherheitskorrekturen. Dazu zählen ein Integer-Überlauf in Mojo sowie zwei Use-after-free-Schwachstellen in den Bereichen Payments und AdFilter. Die Details zu den Fehlern bleiben teilweise eingeschränkt, bis ein Großteil der Nutzer das Update erhalten hat.
- Priorität: Erhöht (hoch)
- Datum: 25.06.2026
- CVE: CVE-2026-13281, CVE-2026-13282, CVE-2026-13283
- Für wen relevant: Nutzer des Google Chrome Browsers auf Windows, Mac und Linux. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Die Schwachstellen könnten zur Ausführung von Schadcode oder Systeminstabilität führen.
- Quelle: Chrome Releases
WordPress Blue Captcha: Cross-Site Request Forgery
Das WordPress-Plugin Blue Captcha ist in Versionen bis einschließlich 2.0.1 anfällig für Cross-Site Request Forgery. Es fehlt eine korrekte Nonce-Validierung im Admin-Panel und in den Log-Unterseiten. Angreifer können Administratoren dazu verleiten, Aktionen wie das Deinstallieren des Plugins oder das Löschen von Logs auszuführen. Auch das Hinzufügen von IP-Adressen zur Sperrliste ist möglich.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- CVE: CVE-2026-10552
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Blue Captcha einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können administrative Aktionen ohne Zustimmung des Administrators ausführen.
- Quelle: NVD
WordPress WP Meta SEO: Server-Side Request Forgery
Das WordPress-Plugin WP Meta SEO ist in allen Versionen bis einschließlich 4.5.18 anfällig für Server-Side Request Forgery. Betroffen ist der Parameter new_link. Authentifizierte Angreifer mit mindestens Contributor-Rechten können Webanfragen an beliebige Ziele senden. Dies ermöglicht das Ausspähen interner Dienste und Cloud-Metadatendienste.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- CVE: CVE-2026-11370
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin WP Meta SEO einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Interne Dienste können durch Anfragen von außen sondiert und manipuliert werden.
- Quelle: NVD
WordPress Secufor_OAuth: Unbefugter Zugriff
Das WordPress-Plugin Secufor_OAuth ist in allen Versionen bis einschließlich 1.0.7 anfällig für unbefugten Zugriff. Das Plugin prüft nicht korrekt, ob ein Benutzer zur Durchführung einer Aktion berechtigt ist. Nicht authentifizierte Angreifer können die Verbindung zwischen der WordPress-Seite und dem Secufor-Konto trennen. Dabei werden Login-Token und Konfigurationen gelöscht.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- CVE: CVE-2026-7617
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Secufor_OAuth einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können die Plugin-Konfiguration stören und die Verbindung zum Dienst unterbrechen.
- Quelle: NVD
WordPress Image Sizes on Demand: Reflected XSS
Das WordPress-Plugin Image Sizes on Demand ist in allen Versionen bis einschließlich 1.3 anfällig für Reflected Cross-Site Scripting. Die Schwachstelle liegt in der PHP_SELF-Servervariablen. Angreifer können bösartige Skripte injizieren, die im Kontext eines Administrators ausgeführt werden. Dies erfordert, dass ein Administrator dazu verleitet wird, einen manipulierten Link anzuklicken.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- CVE: CVE-2026-8622
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Image Sizes on Demand einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können Skripte im Kontext eines Administrators ausführen.
- Quelle: NVD
WordPress EntreDroppers: Reflected XSS
Das WordPress-Plugin EntreDroppers ist in allen Versionen bis einschließlich 1.1.2 anfällig für Reflected Cross-Site Scripting. Die Schwachstelle betrifft den PHP_SELF-Parameter. Angreifer können bösartige Skripte über die URL injizieren. Diese werden ausgeführt, wenn ein Benutzer einen manipulierten Link anklickt.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- CVE: CVE-2026-8628
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin EntreDroppers einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können bösartige Skripte im Browser der Benutzer ausführen.
- Quelle: NVD
WordPress Generate Security.txt: Autorisierungsumgehung
Das WordPress-Plugin Generate Security.txt ist in allen Versionen bis einschließlich 1.0.12 anfällig für eine Autorisierungsumgehung. Das Plugin prüft nicht, ob ein Benutzer zur Durchführung von Aktionen berechtigt ist. Authentifizierte Angreifer mit Subscriber-Rechten können die Datei security.txt löschen oder Verzeichnisse erstellen.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- CVE: CVE-2026-9616
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Generate Security.txt einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können Sicherheitsdateien löschen oder die Verzeichnisstruktur manipulieren.
- Quelle: NVD
WordPress WP Latest Posts: Stored Cross-Site Scripting
Das WordPress-Plugin WP Latest Posts ist in Versionen bis einschließlich 5.0.11 anfällig für Stored Cross-Site Scripting. Die Schwachstelle liegt in der unzureichenden Maskierung von Bild-Attributen in Inhalten. Authentifizierte Angreifer mit Author-Rechten können bösartige Skripte injizieren. Diese werden ausgeführt, sobald ein Benutzer die betroffene Seite aufruft.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- CVE: CVE-2026-9620
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin WP Latest Posts einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können bösartige Skripte im Browser anderer Benutzer ausführen.
- Quelle: NVD
WordPress Gutenberg Essential Blocks: Stored XSS
Das WordPress-Plugin Gutenberg Essential Blocks ist in allen Versionen bis einschließlich 6.1.4 anfällig für Stored Cross-Site Scripting. Betroffen ist das Block-Attribut configurablePrefix. Authentifizierte Angreifer mit Contributor-Rechten können bösartige Skripte injizieren. Diese werden ausgeführt, wenn ein Benutzer die Seite besucht.
- Priorität: Beobachten (mittel / informativ)
- Datum: 25.06.2026
- CVE: CVE-2026-10833
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Gutenberg Essential Blocks einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können bösartige Skripte im Browser anderer Benutzer ausführen.
- Quelle: NVD
WordPress Dokan Pro: SQL-Injection via orderby
Das WordPress-Plugin Dokan Pro ist in allen Versionen bis einschließlich 5.0.4 anfällig für eine zeitbasierte SQL-Injection. Betroffen ist der Parameter orderby. Authentifizierte Angreifer mit Subscriber-Rechten können zusätzliche SQL-Abfragen einschleusen. Dies ermöglicht das Auslesen sensibler Datenbankinformationen.
- Priorität: Beobachten (mittel / informativ)
- Datum: 25.06.2026
- CVE: CVE-2026-12079
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Dokan Pro einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten aus der Datenbank extrahieren.
- Quelle: NVD
WordPress Gravity Forms Booking: SQL-Injection
Das WordPress-Plugin Gravity Forms Booking ist in allen Versionen bis einschließlich 2.7.1 anfällig für eine zeitbasierte SQL-Injection. Betroffen ist der Parameter staff_id. Authentifizierte Angreifer mit Subscriber-Rechten können SQL-Abfragen manipulieren. Dies ermöglicht das Auslesen sensibler Datenbankinformationen.
- Priorität: Beobachten (mittel / informativ)
- Datum: 25.06.2026
- CVE: CVE-2026-2508
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Gravity Forms Booking einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten aus der Datenbank extrahieren.
- Quelle: NVD
Bitwarden Server: Fehlerhafte Zugriffskontrolle
Bitwarden Server vor Version 2026.5.0 enthält eine Schwachstelle in der Zugriffskontrolle. Authentifizierte Benutzer können Abrechnungsdaten beliebiger Organisationen abrufen, indem sie eine beliebige organizationId an die PreviewInvoiceController-Endpunkte senden. Es fehlen notwendige Prüfungen der Mitgliedschaft oder Autorisierung. Dies legt sensible Daten wie Steuerbeträge und Abonnementstatus offen.
- Priorität: Beobachten (mittel / informativ)
- Datum: 25.06.2026
- CVE: CVE-2026-57521
- Für wen relevant: Betreiber von Bitwarden-Server-Instanzen vor Version 2026.5.0. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Sensible Abrechnungs- und Abonnementdaten von Organisationen können unbefugt eingesehen werden.
- Quelle: NVD
Chrome für Android: Stabilitäts- und Sicherheitsupdate
Google hat Chrome 149 für Android veröffentlicht. Das Update enthält Stabilitäts- und Leistungsverbesserungen. Die Android-Versionen enthalten dieselben Sicherheitskorrekturen wie die entsprechenden Desktop-Versionen für Windows, Mac und Linux.
- Priorität: Beobachten (mittel / informativ)
- Datum: 25.06.2026
- Für wen relevant: Nutzer des Google Chrome Browsers auf Android-Geräten. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Das Update schließt kritische Sicherheitslücken, die auch in den Desktop-Versionen behoben wurden.
- Quelle: Chrome Releases
CNAPP-Evolution: Microsofts Ansatz für Cloud-Risikomanagement
Microsoft informiert über die Entwicklung von CNAPP-Plattformen (Cloud-Native Application Protection Platform). Der Fokus liegt darauf, ausnutzbare Risiken zu priorisieren und die Sicherheit über den gesamten Anwendungslebenszyklus hinweg zu operationalisieren. Ziel ist die Reduzierung der Angriffsfläche in Cloud-Umgebungen.
- Priorität: Beobachten (mittel / informativ)
- Datum: 24.06.2026
- Für wen relevant: Unternehmen, die Cloud-Infrastrukturen verwalten und Sicherheitsrisiken priorisieren müssen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die Implementierung moderner CNAPP-Strategien hilft, Sicherheitsrisiken in Cloud-Anwendungen effektiver zu verwalten.
- Quelle: Microsoft Security Blog
