Security Advisories
Reale, von turingpoint entdeckte und verantwortungsvoll offengelegte Schwachstellen in weit verbreiteter Open-Source- und Unternehmenssoftware.
Security Research
Veröffentlichte Advisories
turingpoint betreibt aktive Sicherheitsforschung an weit verbreiteter Open-Source- und Unternehmenssoftware. Viele dieser Schwachstellen entstehen direkt während Penetrationstests bei unseren Kunden. Die folgenden Funde wurden von uns identifiziert, im Rahmen einer koordinierten Offenlegung mit den Herstellern abgestimmt und nach Bereitstellung eines Patches als CVE veröffentlicht. Sicherheitsforschung made in Germany.
Sortieren nach:
Produkt
CVE
Schwachstelle
CVSS
Advisory
- OPNsenseCVE-2026-58390Stored XSS über OpenVPN-`common_name` (RADIUS/LDAP) in den Status-Ansichten → Code-Ausführung in der Root-Admin-Sitzung, Eskalation zu Root-RCE8.0 · Hoch
- OpenVAS Scannernicht zugewiesen`Image::from_str` filtert nur leere Segmente, sodass `..` aus Registry, Image und Tag in den Auspackpfad gelangt; ein unangemeldeter Scan legt als root Verzeichnisse ausserhalb des Arbeitsverzeichnisses an, schreibt dorthin und loescht beim Aufraeumen fremde Baeume rekursiv9.0 · Kritisch
- LightdashbeantragtDie Metrik-Abfrage bettet `customDimensions[].sql` und `additionalMetrics[].sql` ohne Rechtepruefung in die Warehouse-Abfrage ein; die Rolle `interactive_viewer` fuehrt damit beliebiges SQL aus, ohne `manage:SqlRunner` zu besitzen8.8 · Hoch
- ApostropheCMSCVE-2026-63667Lesen beliebiger Dateien mit erlaubter Endung über den aus der Archiv-JSON gebauten Attachment-Pfad im `@apostrophecms/import-export`-Modul (`../`-Schutz prüft nur Tar-Einträge, nicht die JSON-Felder)6.5 · Mittel
- MalcolmCVE-2026-55676Authentifizierte RCE über unbeschränkten `.php`-Upload in der File-Upload-Komponente (leere Allowlist)8.8 · Hoch
- CronicleCVE-2026-55562Stored XSS im `full_name`-Feld des Aktivitätsprotokolls → Code-Ausführung in der Admin-Sitzung9.0 · Kritisch
- FleetbeantragtCSV-/Formel-Injection im Export des Host-Inventars: vom osquery-Agenten gemeldete Host-Felder landen unentschärft in `hosts/report?format=csv`, auslösbar bis zur Rolle Observer4.4 · Mittel
- OpenEMRbeantragtSQL Injection im Dokument-API des Patientenportals über `Id_BitwiseAnd`: jeder Portal-Patient liest die gesamte Datenbank inklusive fremder Patientendaten und Admin-Passwort-Hashes7.7 · Hoch
- TautulliCVE-2026-45381Reflektiertes XSS im `query`-Parameter von `/search` (unvollständiges Escaping) → API-Key-Diebstahl7.4 · Hoch
- GraylogCVE-2026-69190Rechteausweitung von Manager zu Owner über das `share_request`-Feld von `PUT /api/views/{id}` (Update-Pfad prüft `view:edit` statt Eigentümerschaft) → Löschen fremder Dashboards6.3 · Mittel
- SurrealDBnicht beantragtAuthentifizierter Pfad-Traversal über den `mapper`-Filter eines Analyzers (beliebiges Dateilesen)7.7 · Hoch
- Kanidmnicht beantragtAnonymer Stack-Overflow-Absturz über tief verschachtelten LDAP-Filter auf LDAPS7.5 · Hoch
- HeyFormnicht beantragtStored XSS im Formular-Renderer: eine `javascript:`-URL mit eingefügtem Tabulator passiert Server- und Client-Sanitizer und läuft im gleichseitigen Kontext des Workspace-Eigentümers8.7 · Hoch
- SemaphoreCVE-2026-73293Rechteausweitung von `manager` zu `owner` über eine Custom-Rollen-Slug-Kollision (Resolver ignoriert die Projekt-ID, `ValidateRole` ohne Sperrliste und ohne Berechtigungs-Obergrenze)8.8 · Hoch
- UnleashCVE-2026-63462Unauthentifizierter Denial of Service über tief verschachteltes JSON an OpenAPI-validierte Endpoints (ungeschütztes `JSON.stringify` → `RangeError`, Prozess-Absturz)7.5 · Hoch
- Portainerbeantragt`IsValidStackFile` lehnt Bind-Mounts von Nichtadministratoren in `volumes` ab, prueft aber `configs` und `secrets` nicht, deren `file` jeden Host-Pfad benennt; ueber den Docker-Socket wird daraus Kontrolle ueber den Host9.4 · Kritisch
- Label Studionicht beantragtDer Editor-Filter verbietet Ereignis-Attribute ueber eine Luecken- statt eine Erlaubnisliste; `onfocusin` und die SMIL-Elemente `animate` und `set` fehlen darin, sodass Aufgabendaten Skript in der Sitzung der Projektleitung ausfuehren9.0 · Kritisch
- Apache AirflowCVE-2026-58076Remote Code Execution im Scheduler und im API-Server durch ungeprüftes `import_string()` auf den Klassennamen eines Ausnahme-Knotens der Dag-Deserialisierung (`executor_config` erreicht den Zweig)8.8 · Hoch
- Part-DBCVE-2026-54630Authentifizierte RCE über `.phar`-Datei-Upload aus `public/media`9.6 · Kritisch
- TypebotCVE-2026-62862Account-Übernahme durch anonymes Durchprobieren des sechsstelligen Magic-Link-Login-Codes (kein Rate-Limit, keine Sperre auf dem Verify-Endpunkt)9.1 · Kritisch