Security Advisories
Reale, von turingpoint entdeckte und verantwortungsvoll offengelegte Schwachstellen in weit verbreiteter Open-Source- und Unternehmenssoftware.
Security Research
Veröffentlichte Advisories
turingpoint betreibt aktive Sicherheitsforschung an weit verbreiteter Open-Source- und Unternehmenssoftware. Viele dieser Schwachstellen entstehen direkt während Penetrationstests bei unseren Kunden. Die folgenden Funde wurden von uns identifiziert, im Rahmen einer koordinierten Offenlegung mit den Herstellern abgestimmt und nach Bereitstellung eines Patches als CVE veröffentlicht. Sicherheitsforschung made in Germany.
Sortieren nach:
Produkt
CVE
Schwachstelle
CVSS
Advisory
- ChartbrewCVE-2026-85295Vollständige Kontoübernahme über JWTs, die mit dem statischen Standard-`CB_SECRET` signiert werden (vier Auth-Middlewares fallen auf den öffentlich bekannten Schlüssel `change_to_random_string` zurück)9.8 · Kritisch
- ChartbrewCVE-2026-85712Mandantenübergreifende Projektübernahme durch IDOR in `checkPermissions` (`team_id` aus dem JSON-Body statt aus der Projekt-Zugehörigkeit aufgelöst)8.8 · Hoch
- ChartbrewCVE-2026-85726Blinde NoSQL-Injection über nicht-escaped Datumsvariable in geteilten Charts (`applyMongoVariables` setzt `date`-Werte ohne Escaping in MongoDB-Query-Strings ein)7.5 · Hoch
- ChartbrewCVE-2026-85708Offenlegung privater Chart-Daten durch fälschbare Share-Tokens, die mit dem statischen Standard-`CB_SECRET` signiert werden (keine Sichtbarkeitsprüfung, Enumeration über Integer-IDs)7.5 · Hoch
- ChartbrewCVE-2026-85736Beliebige Dateilöschung als Root über SSL/SSH-Pfadfelder in Datenverbindungen (`removeConnection` ruft `fs.unlink` auf vier vom Nutzer kontrollierbare Pfade ohne Einschränkung auf)8.1 · Hoch
- Teablenicht beantragtStored XSS in In-App-Benachrichtigungen über den Anzeigenamen4.6 · Mittel
- ShopwarebeantragtDer Ruecksetzlink der Administration entsteht ueber den Symfony-Router aus dem Host der Anfrage, bei `trusted_hosts: ~` und einem anonym erreichbaren Endpunkt; die echte Mail an die Administration traegt damit die Domaene des Angreifers9.3 · Kritisch
- ProwlerCVE-2026-73263Remote Code Execution auf den geteilten Celery-Workern durch eine kubeconfig mit legacy `auth-provider` `cmd-path` (der Validator blockiert nur `exec`-Blöcke)9.9 · Kritisch
- ntopngnicht beantragt`isValidHostName` laesst spitze Klammern und Anfuehrungszeichen zu, und die Hosts-Ansicht setzt den aus dem Netzverkehr gelernten Namen per `v-html` in den DOM; Regression von CVE-2014-5464, bislang ohne Fix8.5 · Hoch
- GoCDCVE-2026-68919Stored XSS über eine als Package-Material-JSON geformte Commit-Message (`materials_helper.rb` klassifiziert per Regex auf dem Kommentartext statt auf dem Materialtyp)7.0 · Hoch
- ntopngCVE-2026-82412Remote Code Execution über OS-Command-Injection im `scan_ports`-Parameter der Schwachstellen-Scan-REST-API, erreichbar für jedes authentifizierte Konto bis zur niedrigsten read-only-Rolle8.8 · Hoch
- Adminernicht beantragtPfad-Traversal im gebündelten `sql-log`-Plugin: ohne ausgewählte Datenbank wird `$_GET["ns"]` ungeprüft zum Log-Pfad, jeder angemeldete Nutzer schreibt beliebige `.sql`-Dateien5.4 · Mittel
- seerrCVE-2026-73291Path Traversal zu Remote Code Execution über den aus dem `ETag` des Medienservers gebildeten Cache-Dateinamen des Avatar-Proxys (`path.join` fasst `../` zusammen, überschreibt `/app/dist/index.js`)7.1 · Hoch
- SaltcornbeantragtDie Feldansicht `as_link` schreibt den gespeicherten Wert ohne Schema-Pruefung in ein `href`; der js-xss-Filter greift nur innerhalb eines Tags, sodass eine anonym eingesandte `javascript:`-URL in der Sitzung der Administration ausgefuehrt wird9.3 · Kritisch
- OpenWrtCVE-2026-62947ACL-Bypass und Lesen beliebiger Root-Dateien über `cgi-download` (fehlende Pfad-Kanonisierung, `fnmatch` ohne `FNM_PATHNAME`)4.9 · Mittel
- Joplin ServerCVE-2026-59814Stored XSS über einen inline ausgelieferten Anhang einer öffentlich freigegebenen Notiz (angreifer-kontrollierter `Content-Type`, fehlende CSP `script-src`/`nosniff`); Eskalation zu vollem Admin-Zugriff gegen einen eingeloggten Administrator7.6 · Hoch
- OpencastCVE-2026-77614Session Fixation ermöglicht Kontoübernahme über einen präparierten Link (`JSESSIONID` wird bei der Anmeldung nicht rotiert und eine über `;jsessionid=` gesetzte Kennung wird übernommen)8.8 · Hoch
- OpencastCVE-2026-77615Gespeichertes XSS im Paella-Player über Untertitel-Cues (WebVTT/DFXP-Cue-Text landet ungeprüft per `innerHTML` im DOM)8.7 · Hoch
- LimeSurveybeantragtBlind SQL Injection in der Statistikauswertung über Spaltennamen im POST-Parameter `summary[]`; `quoteColumnName()` maskiert keine Backticks6.5 · Mittel
- SOGobeantragtStored XSS über Client-Side Template Injection in der Karte einer Kalendereinladung: der Beschreibungstext wird von AngularJS ausgewertet statt angezeigt, ein Konto braucht der Angreifer nicht9.6 · Kritisch