Security-Briefing 30.06.2026: Mehrere kritische Schwachstellen in Netzwerk- und Unternehmenssoftware

SimpleHelp-Authentifizierungsbypass durch manipulierte OIDC-Tokens

SimpleHelp enthält eine Authentifizierungsbypass-Schwachstelle im OIDC-Authentifizierungsfluss. Bei konfiguriertem OIDC werden während der Anmeldung eingereichte Identitätstokens ohne Überprüfung der kryptografischen Signatur akzeptiert. In einer anfälligen Konfiguration kann ein entfernter, unauthentifizierter Angreifer ein gefälschtes Token mit beliebigen Identitätsansprüchen einreichen, um eine vollständig authentifizierte Techniker-Sitzung zu erhalten. In einigen Konfigurationen kann dies auch den Umgehung der Multi-Faktor-Authentifizierung ermöglichen.

• Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
• Datum: 29.06.2026
• CVE: CVE-2026-48558
• Für wen relevant: Unternehmen, die SimpleHelp für Fernwartungszugriffe einsetzen. (für KMU: kritisch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte unbefugten Zugriff auf interne Systeme erlangen und Support-Sitzungen manipulieren.
• Quelle: CISA KEV

D-Link-Kamera: Command Injection in setconf.cgi

Eine Schwachstelle wurde in D-Link DCS-935L 1.10.01 identifiziert. Diese betrifft die Funktion sub_400E40 der Datei setconf.cgi des Komponenten-POST-Parameter-Handlers. Durch Manipulation des Arguments UID kommt es zu einer Command Injection. Der Angriff kann aus der Ferne gestartet werden. Der Exploit wurde öffentlich bekanntgegeben und könnte genutzt werden.

• Priorität: Hoch (kritisch)
• Datum: 29.06.2026
• CVE: CVE-2026-13545
• Für wen relevant: Betreiber von D-Link DCS-935L-Kameras. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über die Kamera übernehmen und möglicherweise das Netzwerk kompromittieren.
• Quelle: NVD

FrontAccounting – mehrere Stellen betroffen

Bei FrontAccounting sind mehrere sicherheitsrelevante Schwachstellen gemeldet:

1. FrontAccounting: Pfad-Traversal durch manipulierte Datei-Uploads

FrontAccounting vor Version 2.4.20 enthält eine Pfad-Traversal-Schwachstelle im Anhang-Upload-Handler, die authentifizierten Angreifern die Ausführung von beliebigem Code ermöglicht. Durch das Hochladen von Dateien mit Traversal-Sequenzen im Parameter unique_name können Dateien außerhalb des vorgesehenen Anhangsverzeichnisses in das Web-Root geschrieben werden. Ohne Validierung der Dateiendungen können PHP-Dateien hochgeladen werden, um Remote-Code-Ausführung als Webserver-Benutzer zu erreichen.

• Priorität: Hoch (kritisch)
• Datum: 29.06.2026
• CVE: CVE-2026-40521
• Für wen relevant: Unternehmen, die FrontAccounting für Buchhaltung und Finanzverwaltung nutzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte sensible Daten stehlen oder das System für weitere Angriffe missbrauchen.
• Quelle: NVD

2. FrontAccounting: SQL-Injection in get_gl_transactions()

FrontAccounting vor Version 2.4.20 enthält eine SQL-Injection-Schwachstelle in der Funktion get_gl_transactions(), bei der der Parameter filter_type direkt in eine SQL-IN()-Klausel ohne Parameterisierung konkateniert wird. Angreifer mit der Berechtigung SA_GLANALYTIC können durch Injizieren einer schließenden Klammer und schädlichen Bedingungen sensible Journaleinträge über boolean-basierte Blind-SQL-Injection mit zuverlässigen Antwortgrößenunterschieden extrahieren.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-40524
• Für wen relevant: Unternehmen, die FrontAccounting für Buchhaltung und Finanzverwaltung nutzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte vertrauliche Finanzdaten auslesen oder das System manipulieren.
• Quelle: NVD

Modoboa: Unsichere direkte Objektreferenz in Passwort-Reset-Endpunkt

Modoboa vor Version 2.9.0 enthält eine unsichere direkte Objektreferenz-Schwachstelle im Endpunkt PUT /api/v1/accounts/{pk}/password/, die es Domänenadministratoren ermöglicht, das Passwort jedes Benutzers zu ändern. Angreifer mit Domänenadmin-Rechten können Objektzugriffskontrollen umgehen, um Superadmin-Passwörter zurückzusetzen und vollständige Kontenübernahme zu erreichen.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-56780
• Für wen relevant: Betreiber von Modoboa-E-Mail-Servern. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über E-Mail-Konten erlangen und möglicherweise weitere Systeme kompromittieren.
• Quelle: NVD

Parseable: Offengelegte Webhook-Tokens durch unsichere API-Endpunkte

Parseable vor Version 2.9.2 enthält eine Informationspreisgabe-Schwachstelle in den API-Endpunkten für Benachrichtigungsziele, die Webhook-Tokens und Basic-Auth-Credentials im Klartext zurückgibt. Dies liegt an deaktivierter Geheimnis-Maskierungsfunktionalität. Jeder authentifizierte Benutzer mit der Berechtigung GetAlert, einschließlich niedrig privilegierter Reader-Rollen, kann Anmeldedaten und interne Endpunkt-URLs aller konfigurierten Benachrichtigungsziele abrufen, indem er GET /api/v1/targets oder verwandte Endpunkte abfragt.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-56783
• Für wen relevant: Unternehmen, die Parseable für Log-Analysen und Monitoring nutzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte interne Systeme angreifen oder sensible Daten abfangen.
• Quelle: NVD

Pinpoint: Unsichere Sitzungsverwaltung durch fehlende Cookie-Schutzmaßnahmen

Pinpoint bis Version 3.1.0 enthält eine unsichere Sitzungsverwaltung-Schwachstelle, die Angreifern den Zugriff auf das pinpointJwt-Sitzungscookie ermöglicht. Dies liegt an fehlenden HttpOnly- und Secure-Attributen, was JavaScript-Zugriff über document.cookie und Klartextübertragung über HTTP ermöglicht. Angreifer können gespeicherte oder reflektierte Cross-Site-Scripting-Schwachstellen ausnutzen, um das Sitzungstoken zu exfiltrieren oder es über Netzwerksniffing abzufangen, um Session-Hijacking durchzuführen.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-57948
• Für wen relevant: Unternehmen, die Pinpoint für Web-Analysen und Tracking nutzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte Sitzungen übernehmen und unbefugten Zugriff auf Benutzerkonten erlangen.
• Quelle: NVD

Mythic: Gebrochene Hasura-Berechtigungsfilter in payload_build_step-Tabelle

Mythic vor Version 3.4.0.60 enthält einen gebrochenen Hasura-Berechtigungsfilter auf der payload_build_step-Tabelle mit einer immer erfüllten _or-Bedingung, die betriebsspezifische Zugriffskontrollen umgeht. Authentifizierte Operatoren und Zuschauer können payload_build_step abfragen, um step_stdout, step_stderr, step_name und step_description über alle Operationen auf dem Server auszulesen.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-57951
• Für wen relevant: Betreiber von Mythic-C2-Servern. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte sensible Informationen aus Build-Prozessen auslesen oder das System für Angriffe missbrauchen.
• Quelle: NVD

Hi.Events: Unauthentifizierter Zugriff auf Teilnehmerdaten durch kurze IDs

Hi.Events bis Version 1.9.0 nutzt short_id als einzige Zugriffskontrolle für öffentliche Check-in-Listen-Endpunkte, was unauthentifizierten Zugriff auf vollständige Teilnehmerlisten einschließlich E-Mails und persönlicher Informationen ermöglicht. Angreifer mit Kenntnis der short_id können über GET /api/public/check-in-lists/{short_id}/attendees auf Teilnehmerdaten zugreifen und Check-in-Einträge erstellen oder löschen, ohne sich zu authentifizieren.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-57960
• Für wen relevant: Veranstalter, die Hi.Events für Ticketing und Teilnehmerverwaltung nutzen. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte sensible Teilnehmerdaten abgreifen oder die Veranstaltung manipulieren.
• Quelle: NVD

luci-app-tailscale-community: Command Injection in tailscale.do_login

luci-app-tailscale-community enthält eine Command-Injection-Schwachstelle in der tailscale.do_login-RPC-Methode, die authentifizierten Benutzern die Ausführung beliebiger Befehle mit Root-Rechten ermöglicht. Die Schwachstelle besteht, weil benutzerkontrollierte Parameter loginserver und loginserver_authkey innerhalb eines doppelt zitierten Shell-Befehls nicht korrekt maskiert werden, sodass Shell-Substitutionen wie $() vom äußeren Shell evaluiert werden, bevor die Argumentverarbeitung erfolgt.

• Priorität: Hoch (kritisch)
• Datum: 29.06.2026
• CVE: CVE-2026-57999
• Für wen relevant: Betreiber von Tailscale-Gateways mit luci-app-tailscale-community. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über das Gateway erlangen und das Netzwerk kompromittieren.
• Quelle: NVD

Wavlink-WLAN-Router: Stack-basierter Pufferüberlauf in wireless.cgi

Eine Schwachstelle wurde in Wavlink WL-NU516U1-A M16U1_V240425 identifiziert. Betroffen ist die Funktion sub_407504 der Datei /cgi-bin/wireless.cgi des Komponenten-POST-Parameter-Handlers. Durch Manipulation des Arguments Guest_ssid kommt es zu einem stack-basierten Pufferüberlauf. Der Angriff kann aus der Ferne ausgeführt werden. Der Exploit wurde öffentlich bekanntgegeben und könnte genutzt werden. Es wird empfohlen, die betroffene Komponente zu aktualisieren. Der Hersteller wurde frühzeitig kontaktiert, reagierte professionell und veröffentlichte schnell eine behobene Version.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-13539
• Für wen relevant: Betreiber von Wavlink WL-NU516U1-A-Routern. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über den Router übernehmen und das Netzwerk kompromittieren.
• Quelle: NVD

Edimax EW-7478APC – mehrere Stellen betroffen

Bei Edimax EW-7478APC sind mehrere sicherheitsrelevante Schwachstellen gemeldet:

1. Edimax-WLAN-Access-Point: Stack-basierter Pufferüberlauf in formiNICSiteSurvey

Eine Schwachstelle wurde in Edimax EW-7478APC 1.04 identifiziert. Betroffen ist die Funktion formiNICSiteSurvey der Datei /goform/formiNICSiteSurvey des Komponenten-POST-Request-Handlers. Durch Manipulation des Arguments selSSID kommt es zu einem stack-basierten Pufferüberlauf. Der Angriff kann aus der Ferne initiiert werden. Der Exploit wurde veröffentlicht und könnte genutzt werden. Der Hersteller wurde frühzeitig über die Offenlegung kontaktiert, antwortete jedoch nicht.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-13562
• Für wen relevant: Betreiber von Edimax EW-7478APC-Access-Points. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über den Access-Point übernehmen und das Netzwerk kompromittieren.
• Quelle: NVD

2. Edimax-WLAN-Access-Point: Stack-basierter Pufferüberlauf in formL2TPSetup

Eine Schwachstelle wurde in Edimax EW-7478APC 1.04 identifiziert. Betroffen ist die Funktion formL2TPSetup der Datei /goform/formL2TPSetup des Komponenten-POST-Request-Handlers. Durch Manipulation des Arguments L2TPUserName kommt es zu einem stack-basierten Pufferüberlauf. Der Angriff kann aus der Ferne initiiert werden. Der Exploit wurde öffentlich bekanntgegeben und könnte genutzt werden. Der Hersteller wurde frühzeitig über die Offenlegung kontaktiert, antwortete jedoch nicht.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-13563
• Für wen relevant: Betreiber von Edimax EW-7478APC-Access-Points. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über den Access-Point übernehmen und das Netzwerk kompromittieren.
• Quelle: NVD

3. Edimax-WLAN-Access-Point: Stack-basierter Pufferüberlauf in formPPPoESetup

Eine Schwachstelle wurde in Edimax EW-7478APC 1.04 identifiziert. Betroffen ist die Funktion formPPPoESetup der Datei /goform/formPPPoESetup des Komponenten-POST-Request-Handlers. Durch Manipulation des Arguments pppUserName kommt es zu einem stack-basierten Pufferüberlauf. Der Angriff kann aus der Ferne initiiert werden. Der Exploit wurde veröffentlicht und könnte genutzt werden. Der Hersteller wurde frühzeitig über die Offenlegung kontaktiert, antwortete jedoch nicht.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-13564
• Für wen relevant: Betreiber von Edimax EW-7478APC-Access-Points. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über den Access-Point übernehmen und das Netzwerk kompromittieren.
• Quelle: NVD

4. Edimax-WLAN-Access-Point: Stack-basierter Pufferüberlauf in formUSBFolder

Eine Schwachstelle wurde in Edimax EW-7478APC 1.04 identifiziert. Betroffen ist die Funktion formUSBFolder der Datei /goform/formUSBFolder des Komponenten-POST-Request-Handlers. Durch Manipulation der Argumente ShareName/SelectName kommt es zu einem Pufferüberlauf. Der Angriff kann aus der Ferne durchgeführt werden. Der Exploit wurde öffentlich bekanntgegeben und könnte genutzt werden. Der Hersteller wurde frühzeitig über die Offenlegung kontaktiert, antwortete jedoch nicht.

• Priorität: Erhöht (hoch)
• Datum: 29.06.2026
• CVE: CVE-2026-13583
• Für wen relevant: Betreiber von Edimax EW-7478APC-Access-Points. (für KMU: hoch – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte die Kontrolle über den Access-Point übernehmen und das Netzwerk kompromittieren.
• Quelle: NVD

Strapi: Schwache JWT-Algorithmen durch fehlende Konfiguration

Das Strapi-Plugin users-permissions beschränkt JWT-Algorithmen nicht, wenn plugin::users-permissions.jwt.algorithm nicht explizit konfiguriert ist. Dies ermöglicht die Akzeptanz von HS384- und HS512-Tokens neben HS256. Angreifer, die den jwtSecret besitzen, können Tokens mit nicht standardmäßigen HMAC-Varianten prägen, um Algorithmusbeschränkungen zu umgehen und Authentifizierungskontrollen zu schwächen.

• Priorität: Beobachten (mittel / informativ)
• Datum: 29.06.2026
• CVE: CVE-2026-57997
• Für wen relevant: Betreiber von Strapi-basierten Webanwendungen. (für KMU: mittel – nur für Betroffene)
• Warum wichtig: Ein Angreifer könnte Authentifizierungsmechanismen umgehen und unbefugten Zugriff auf das System erlangen.
• Quelle: NVD