Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
WordPress-Plugin ASE Pro: Codeausführung durch ungeprüfte Eingaben
Das WordPress-Plugin Admin and Site Enhancements (ASE) Pro ist bis Version 8.9.0 anfällig für Codeausführung. Betroffen ist die Funktion recursive_html. Der Frontend-Speicher-Handler prüft nur ein öffentlich ausgestrahltes Nonce ohne Authentifizierung. Die CAPTCHA-Prüfung lässt sich durch Weglassen eines Angreifer-Schlüssels umgehen. Wiederholerzeilen aus cfgroup[input] werden unverändert in einen eval()-Aufruf eingebunden, ohne Bereinigung oder Validierung. Angreifer können so ohne Authentifizierung Code auf dem Server ausführen. Voraussetzung ist das Vorhandensein des Shortcodes [post_cf_form] auf mindestens einer öffentlich zugänglichen Seite, da Nonce und Sitzungs-ID über diesen Shortcode an unauthentifizierte Besucher gesendet werden. Die Lücke wurde in Version 8.9.1 behoben.
- Priorität: Hoch (kritisch (CVSS 9.8))
- Datum: 30.07.2026
- CVE: CVE-2026-16610
- Für wen relevant: Unternehmen, die das ASE Pro Plugin für WordPress einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer könnten Serverbefehle ausführen und die Kontrolle über die Website übernehmen.
- Quelle: NVD
WordPress-Plugin BuddyPress: Unsichere Deserialisierung ermöglicht Codeausführung
Das WordPress-Plugin BuddyPress bis Version 14.5.0 ist anfällig für die Deserialisierung nicht vertrauenswürdiger Daten. Die Funktion bp_unserialize_profile_field() nutzt @unserialize() ohne den Parameter allowed_classes. Angreifer mit Subscriber-Zugriff oder höher können über XProfile-Textfelder beliebige PHP-Objekte injizieren. Ob dies zu Codeausführung führt, hängt von der Umgebung ab. Voraussetzung ist ein passender POP-Kette in der WordPress-Installation.
- Priorität: Erhöht (hoch (CVSS 7.5))
- Datum: 30.07.2026
- CVE: CVE-2026-1360
- Für wen relevant: Nutzer von WordPress mit installiertem BuddyPress-Plugin. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte unter bestimmten Bedingungen beliebigen Code auf dem Server ausführen.
- Quelle: NVD
Google Chrome: Mehrere Schwachstellen mit Codeausführung und Datenmanipulation
Google Chrome enthält mehrere Schwachstellen, die Angreifer ausnutzen können. Betroffen sind die Ausführung beliebigen Codes, das Offenlegen vertraulicher Informationen, das Umgehen von Sicherheitsmaßnahmen, die Manipulation von Daten sowie das Herbeiführen eines Denial-of-Service-Zustands. Die genauen Auswirkungen hängen von der jeweiligen Schwachstelle ab.
- Priorität: Erhöht (hoch)
- Datum: 30.07.2026
- Für wen relevant: Nutzer und Administratoren von Google Chrome. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten Code ausführen, Daten manipulieren oder den Browser zum Absturz bringen.
- Quelle: BSI CERT-Bund
GitLab: Mehrere Schwachstellen mit XSS und Datenmanipulation
GitLab enthält mehrere Schwachstellen, die Angreifer ausnutzen können. Betroffen sind das Umgehen von Sicherheitsmaßnahmen, Cross-Site-Scripting-Angriffe, die Manipulation von Daten, das Offenlegen vertraulicher Informationen sowie das Auslösen eines Denial-of-Service-Zustands. Die genauen Auswirkungen hängen von der jeweiligen Schwachstelle ab.
- Priorität: Erhöht (hoch)
- Datum: 30.07.2026
- Für wen relevant: Betreiber von GitLab-Instanzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer könnten Daten manipulieren, Skripte im Kontext anderer Nutzer ausführen oder die Verfügbarkeit der Instanz beeinträchtigen.
- Quelle: BSI CERT-Bund
Juggle: Codeausführung über unsichere H2-Datenbankkonsole
Die Anwendung Juggle bis Version 1.6.0 enthält eine Schwachstelle, die Codeausführung ermöglicht. Angreifer können über die ungeschützte H2-Datenbank-Webkonsole mit Standardanmeldedaten auf das System zugreifen. Über die H2 CREATE ALIAS Runtime.exec()-Technik lassen sich beliebige Betriebssystembefehle ausführen. Bei Nutzung des Standard-Docker-Images führt dies zu Root-Rechten. Die Konsole ist standardmäßig ohne Schutz zugänglich.
- Priorität: Hoch (kritisch (CVSS 9.3))
- Datum: 30.07.2026
- CVE: CVE-2026-67208
- Für wen relevant: Betreiber von Juggle-Anwendungen, insbesondere in Docker-Umgebungen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte beliebige Systembefehle ausführen und die Anwendung vollständig übernehmen.
- Quelle: NVD
KDE Konsole: Schwachstelle ermöglicht Codeausführung
Die KDE-Anwendung Konsole enthält eine Schwachstelle, die Codeausführung durch entfernte, anonyme Angreifer ermöglicht. Die genaue Ursache und die betroffenen Versionen werden nicht näher spezifiziert.
- Priorität: Erhöht (hoch)
- Datum: 30.07.2026
- Für wen relevant: Nutzer der KDE Konsole. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte beliebigen Programmcode auf dem System ausführen.
- Quelle: BSI CERT-Bund
OpenClaw Dashboard – mehrere Stellen betroffen
Bei OpenClaw Dashboard sind mehrere sicherheitsrelevante Schwachstellen gemeldet:
1. OpenClaw Dashboard: Gespeicherte XSS über manipulierte Anmeldung
Das OpenClaw Dashboard in Version 3.0.0 ist anfällig für gespeicherte Cross-Site-Scripting-Angriffe. Angreifer können durch eine manipulierte Nutzername-Eingabe im Anmeldeversuch HTML- und Skriptcode in das System einschleusen. Dieser wird unverändert im Audit-Log gespeichert. Öffnet ein Administrator das Benachrichtigungsfenster, wird der Eintrag über innerHTML ohne Escapierung gerendert. Die permissive Content-Security-Policy erlaubt Inline-Event-Handler, sodass der Payload im Admin-Kontext ausgeführt wird. Betroffen sind unter anderem die Bearbeitung von Agenten-Anweisungsdateien und Konfigurationsänderungen.
- Priorität: Hoch (kritisch (CVSS 9.3))
- Datum: 30.07.2026
- CVE: CVE-2026-66418
- Für wen relevant: Administratoren von OpenClaw Dashboard Installationen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte im Admin-Kontext beliebigen JavaScript-Code ausführen und sensible Daten manipulieren.
- Quelle: NVD
2. OpenClaw Dashboard: Gespeicherte XSS über Agententranskripte
Das OpenClaw Dashboard enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle. Angreifer können durch manipulierte Agententranskripte JavaScript-Code im Browser des Administrators ausführen. Der Payload wird über die Sessions-API verarbeitet und unverändert in innerHTML eingebunden. Innerhalb eines 60-Zeichen-Budgets lassen sich Inline-Event-Handler wie img-Tags mit onerror-Attributen platzieren. Betroffen sind unter anderem der Diebstahl von Sitzungs-Tokens und unautorisierte Aufrufe administrativer Endpunkte wie die Bearbeitung von Agenten-Anweisungsdateien.
- Priorität: Erhöht (hoch (CVSS 8.8))
- Datum: 30.07.2026
- CVE: CVE-2026-66421
- Für wen relevant: Administratoren von OpenClaw Dashboard Installationen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte im Admin-Kontext sensible Daten abgreifen oder Systemeinstellungen ändern.
- Quelle: NVD
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
