<![CDATA[Advisories]]>https://ole-hartwig.eu/advisoriesde-DEThu, 01 Oct 2026 09:20:37 +0200<![CDATA[Rückblick 2026: Sicherheitsmeldungen von Mai bis September]]>https://ole-hartwig.eu/advisories/rueckblick-2026https://ole-hartwig.eu/page-3753Tue, 29 Sep 2026 21:48:43 +0200<![CDATA[Sylius Security-Release 1.12.25 / 1.13.17 / 1.14.20 / 2.1.16 / 2.2.9: JWT-Audience-Verwechslung erlaubt Admin-Übernahme über die Shop-API]]>https://ole-hartwig.eu/advisories/sylius-security-release-1-12-25-1-13-17-1-14-20-2-1-16-2-2-9-jwt-audience-confusionhttps://ole-hartwig.eu/page-2885Thu, 24 Sep 2026 08:32:54 +0200<![CDATA[TYPO3 14.3.7 und 13.4.35: Informationsoffenlegung im Lokalisierungs-Assistenten und fehlende Autorisierung bei Konfigurations-Kommandos behoben]]>https://ole-hartwig.eu/advisories/typo3-14-3-7-13-4-35-security-release-sa-022-sa-023https://ole-hartwig.eu/page-2877Sat, 19 Sep 2026 08:21:48 +0200<![CDATA[redis-parser CVE-2026-93435: Unbegrenzte Rekursion beim RESP-Parsing legt ioredis-Clients lahm]]>https://ole-hartwig.eu/advisories/redis-parser-cve-2026-93435-ioredis-resp-recursion-doshttps://ole-hartwig.eu/page-2875Sat, 19 Sep 2026 08:19:28 +0200<![CDATA[GitLab CVE-2026-85706: Pfad-Traversal in der Commits-API erlaubt unauthentifiziertes Auslesen beliebiger Dateien — aktiv ausgenutzt, CVSS 10.0, jetzt in der CISA-KEV]]>https://ole-hartwig.eu/advisories/gitlab-cve-2026-85706-commits-api-path-traversal-unauthenticated-file-read-kevhttps://ole-hartwig.eu/page-2837Thu, 17 Sep 2026 08:19:25 +0200<![CDATA[TYPO3-EXT-SA-2026-025: Fünf CVEs in „Apache Solr for TYPO3“ — von Broken Access Control bis PHP Object Injection]]>https://ole-hartwig.eu/advisories/typo3-ext-sa-2026-025-apache-solr-broken-access-control-deserializationhttps://ole-hartwig.eu/page-2776Sat, 29 Aug 2026 08:21:28 +0200<![CDATA[SCTPhantom (CVE-2026-64564): eine 18 Jahre alte Use-after-Free-Lücke im Linux-Kernel-SCTP-Stack — Root-Behauptung umstritten]]>https://ole-hartwig.eu/advisories/cve-2026-64564-sctphantom-linux-kernel-sctp-use-after-free-container-escapehttps://ole-hartwig.eu/page-2763Sat, 08 Aug 2026 08:18:42 +0200<![CDATA[Keyv/Cacheable-npm-Kompromittierung: Mini-Shai-Hulud-Wurm vergiftet 400+ Pakete über preinstall-Hook und Claude-Code-/VS-Code-Autostart]]>https://ole-hartwig.eu/advisories/keyv-cacheable-npm-mini-shai-hulud-supply-chain-wormhttps://ole-hartwig.eu/page-2759Wed, 05 Aug 2026 08:18:18 +0200<![CDATA[TYPO3-EXT-SA-2026-013 (CVE-2026-46725): Unsichere Deserialisierung in „Content Element Selector" (ceselector) — unauthentifizierte RCE, Fix in 6.0.1/5.0.1/4.0.2/3.0.3]]>https://ole-hartwig.eu/advisories/typo3-cve-2026-46725-ceselector-deserialization-rcehttps://ole-hartwig.eu/page-2758Wed, 05 Aug 2026 08:18:09 +0200<![CDATA[PHP 8.5.9, 8.4.24, 8.3.33, 8.2.33: Koordinierter Security-Release schließt PostgreSQL-SQL-Injection und BCMath-Speicherfehler]]>https://ole-hartwig.eu/advisories/php-8-5-9-8-4-24-8-3-33-8-2-33-security-release-cve-2026-17543-17544https://ole-hartwig.eu/page-2755Thu, 30 Jul 2026 18:05:02 +0200<![CDATA[Langflow CVE-2026-0770: exec_globals erlaubt unauthentifizierte RCE — zweite Langflow-Lücke in CISA KEV, kein Patch in Sicht]]>https://ole-hartwig.eu/advisories/langflow-cve-2026-0770-exec-globals-unauthenticated-rcehttps://ole-hartwig.eu/page-2706Mon, 27 Jul 2026 08:18:59 +0200<![CDATA[NGINX CVE-2026-42533: Heap Buffer Overflow durch Capture-Variablen-Reihenfolge in map/regex — Patch-Pflicht für Kubernetes-Ingress]]>https://ole-hartwig.eu/advisories/nginx-cve-2026-42533-heap-buffer-overflow-map-regexhttps://ole-hartwig.eu/page-2674Thu, 23 Jul 2026 08:15:59 +0200<![CDATA[LiteLLM CVE-2026-47101, -47102, -40217: Vom internen Nutzer zu proxy_admin und RCE — eine Drei-Lücken-Kette im AI-Gateway]]>https://ole-hartwig.eu/advisories/litellm-cve-2026-47101-47102-40217-privilege-escalation-rce-chainhttps://ole-hartwig.eu/page-2564Sat, 18 Jul 2026 09:17:20 +0200<![CDATA[TYPO3 SA-2026-020 (CVE-2026-15305): Der MimeTypeValidator im Form Framework wurde nie registriert — Fix in 14.3.5]]>https://ole-hartwig.eu/advisories/typo3-cve-2026-15305-form-framework-mimetypevalidatorhttps://ole-hartwig.eu/page-2394Thu, 16 Jul 2026 08:28:00 +0200<![CDATA[Sylius Mollie Plugin: Payment-Webhook-Forgery und Order-ID-Enumeration — Fix in 2.2.9 / 3.2.5 / 3.3.2]]>https://ole-hartwig.eu/advisories/sylius-mollie-plugin-payment-webhook-forgery-order-enumerationhttps://ole-hartwig.eu/page-2386Wed, 15 Jul 2026 10:28:30 +0200<![CDATA[GhostLock (CVE-2026-43499): eine 15 Jahre alte Futex-Race im Linux-Kernel öffnet Root und Container-Escape]]>https://ole-hartwig.eu/advisories/ghostlock-cve-2026-43499-linux-kernel-futex-use-after-free-root-container-escapehttps://ole-hartwig.eu/page-2378Tue, 14 Jul 2026 11:09:08 +0200<![CDATA[npm v12: Install-Scripts sind ab sofort standardmäßig deaktiviert — was das für deine CI bedeutet]]>https://ole-hartwig.eu/advisories/npm-v12-install-scripts-standardmaessig-aushttps://ole-hartwig.eu/page-2373Tue, 14 Jul 2026 10:58:30 +0200<![CDATA[GitLab-Patch-Release 19.0.2 / 18.11.5 / 18.10.8: Zwei High-Lücken erlauben Konto-Übernahme und XSS — self-managed sofort aktualisieren]]>https://ole-hartwig.eu/advisories/gitlab-patch-release-19-0-2-18-11-5-18-10-8-cve-2026-6552-10087https://ole-hartwig.eu/page-2123Sat, 13 Jun 2026 11:32:22 +0200<![CDATA[TYPO3 14.3.3 & 13.4.31: 14 Security-Advisories an einem Tag — jede der 15 Lücken einzeln analysiert]]>https://ole-hartwig.eu/advisories/typo3-14-3-3-13-4-31-security-release-14-advisorieshttps://ole-hartwig.eu/page-2047Tue, 09 Jun 2026 14:16:00 +0200<![CDATA[Miasma wechselt vom Paketmanager in den Editor: Klonen ist sicher, Öffnen nicht — und es traf auch Azure/durabletask]]>https://ole-hartwig.eu/advisories/miasma-ai-coding-agent-config-injection-claude-cursor-gemini-vscodehttps://ole-hartwig.eu/page-2027Sun, 07 Jun 2026 09:29:00 +0200<![CDATA[PHP SOAP: CVE-2026-6722 — unauthentifizierter Use-after-Free-RCE im ext-soap (plus vier weitere PHP-Funde im selben Release)]]>https://ole-hartwig.eu/advisories/php-soap-cve-2026-6722-use-after-free-rce-clusterhttps://ole-hartwig.eu/page-2029Sat, 06 Jun 2026 10:30:00 +0200<![CDATA[IronWorm — ein Rust-npm-Worm, der npm Trusted Publishing missbraucht, per eBPF-Rootkit verschwindet und ohne C2 exfiltriert]]>https://ole-hartwig.eu/advisories/ironworm-rust-npm-worm-trusted-publishing-ebpf-rootkithttps://ole-hartwig.eu/page-2127Sat, 06 Jun 2026 07:26:00 +0200<![CDATA[binding.gyp - ein npm-Supply-Chain-Worm, der node-gyp statt postinstall missbraucht — und CI/CD-Credentials erntet]]>https://ole-hartwig.eu/advisories/binding-gyp-npm-node-gyp-supply-chain-worm-credential-harvestinghttps://ole-hartwig.eu/page-2010Thu, 04 Jun 2026 21:37:06 +0200<![CDATA[FrankenPHP 1.12.4 schliesst Underscore-Header-Spoofing — und bündelt die Security-Patches aus Caddy 2.11.4 und Mercure 0.24.2]]>https://ole-hartwig.eu/advisories/frankenphp-1-12-4-underscore-header-spoofing-caddy-2-11-4-mercure-0-24-2https://ole-hartwig.eu/page-2004Thu, 04 Jun 2026 16:37:00 +0200<![CDATA[Sylius Security-Release 2.0.18 / 2.1.15 / 2.2.6 — drei Lücken im Shop- und Payment-API-Pfad (Cart-LiveComponent, Payment-IDOR, Channel-Bypass)]]>https://ole-hartwig.eu/advisories/sylius-security-release-cart-livecomponent-payment-idor-channel-bypasshttps://ole-hartwig.eu/page-1991Wed, 03 Jun 2026 17:13:59 +0200<![CDATA[CVE-2026-1784: OpenShift Ingress-Operator — RCE über HAProxy-Config-Injection im Route-spec.path]]>https://ole-hartwig.eu/advisories/cve-2026-1784-openshift-ingress-operator-haproxy-config-injection-route-path-rcehttps://ole-hartwig.eu/page-1927Tue, 02 Jun 2026 15:52:00 +0200<![CDATA[Miasma: The Spreading Blight — Mini-Shai-Hulud-Wurm kompromittiert @redhat-cloud-services npm-Pakete und greift Cloud-Identitäten an]]>https://ole-hartwig.eu/advisories/miasma-redhat-cloud-services-npm-mini-shai-hulud-cloud-identity-wormhttps://ole-hartwig.eu/page-1919Tue, 02 Jun 2026 09:37:00 +0200<![CDATA[CVE-2026-48736: SSRF-Bypass in Symfonys NoPrivateNetworkHttpClient — wenn die IPv6-Übergangsformen nicht auf der Blockliste stehen]]>https://ole-hartwig.eu/advisories/cve-2026-48736-symfony-noprivatenetworkhttpclient-ipv6-transition-ssrfhttps://ole-hartwig.eu/page-1914Sun, 31 May 2026 22:26:54 +0200<![CDATA[CVE-2026-48489: Symfony Firewall-Bypass über failure_forward — wenn ein interner Subrequest die access_control-Linie umgeht]]>https://ole-hartwig.eu/advisories/cve-2026-48489-symfony-firewall-bypass-failure-forward-subrequesthttps://ole-hartwig.eu/page-1913Sun, 31 May 2026 22:22:07 +0200<![CDATA[BadHost (CVE-2026-48710): Eine Zeile im Host-Header hängt Auth aus — Starlette, FastAPI und jeder MCP-Server unter 1.0.1 sind die Linie]]>https://ole-hartwig.eu/advisories/cve-2026-48710-badhost-starlette-mcp-fastapi-host-header-auth-bypasshttps://ole-hartwig.eu/page-1861Thu, 28 May 2026 19:18:41 +0200<![CDATA[Sechs TYPO3-Extension-Advisories vom 19. Mai 2026 — zwei RCEs, zwei SQL-Injections, dreifach ke_search, eine Access-Control-Lücke und welche Patch-Reihenfolge der Cluster verlangt]]>https://ole-hartwig.eu/advisories/typo3-ext-sa-2026-008-bis-013-extension-cluster-mai-2026https://ole-hartwig.eu/page-1625Sun, 24 May 2026 14:00:00 +0200<![CDATA[Doppelter Composer-Vorfall am 22. Mai 2026 — Laravel-Lang-Tag-Injection (Aikido) und postinstall-Welle in 8 Composer-Paketen + 700+ GitHub-Repos (Socket)]]>https://ole-hartwig.eu/advisories/laravel-lang-tag-injection-supply-chain-may-2026https://ole-hartwig.eu/page-1836Sat, 23 May 2026 06:28:33 +0200<![CDATA[Symfony 5.4.52 / 6.4.40 / 7.4.12 / 8.0.12 — sieben CVEs in einem Wartungsfenster, von SMTP-Header-Injection in Mime\Address bis zum UrlGenerator-Route-Requirement-Bypass]]>https://ole-hartwig.eu/advisories/symfony-5-4-52-6-4-40-7-4-12-8-0-12-disclosure-wave-cve-45064-45065-45066-45753-50340https://ole-hartwig.eu/page-1633Wed, 20 May 2026 13:40:00 +0200<![CDATA[FrankenPHP 1.12.3 schließt CVE-2026-45062 — Unicode-Pfad-Splitting wird zum RCE-Pfad]]>https://ole-hartwig.eu/advisories/frankenphp-cve-2026-45062-unicode-cgi-rce-mai-2026https://ole-hartwig.eu/page-1436splitPos()-Funktion in cgi.go nutzte search.IgnoreCase-Unicode-Equivalence-Folding für non-ASCII-Pfadbytes. Zwei Logikfehler erlauben, dass Dateien wie shellﺒphp oder shell.ｐhp als PHP-Skripte ausgeführt werden. Wo der Angreifer eine Datei im FrankenPHP-Web-Root platzieren kann (Upload, File-Storage), wird daraus unauthentisierter RCE. Ich habe für alle Bestandskunden die TYPO3- und Sylius-Container-Images mit FrankenPHP 1.12.3 neu gebaut und ausgerollt.]]>Fri, 15 May 2026 18:00:00 +0200<![CDATA[NGINX Rift CVE-2026-42945: Wenn 18 Jahre alte Annahmen im Rewrite-Modul den Reverse-Proxy zerreißen — was 1.30.1 wirklich ändert]]>https://ole-hartwig.eu/advisories/nginx-rift-cve-2026-42945-rewrite-module-mai-2026https://ole-hartwig.eu/page-1415Fri, 15 May 2026 14:00:00 +0200<![CDATA[Composer-Token-Leak (GHSA-f9f8-rm49-7jv2): GITHUB_TOKEN in CI-Logs — Composer auf 2.9.8 / 2.2.28 / 1.10.28 anheben]]>https://ole-hartwig.eu/advisories/composer-token-leak-ghsa-f9f8-rm49-7jv2-mai-2026https://ole-hartwig.eu/page-1165Wed, 13 May 2026 12:00:00 +0200<![CDATA[Apache HTTP/2 Double-Free (CVE-2026-23918) — warum die mod_http2-Schicht in Apache 2.4.66 acht Tage offen lag]]>https://ole-hartwig.eu/advisories/apache-http2-cve-2026-23918-mai-2026https://ole-hartwig.eu/page-1193Wed, 13 May 2026 12:00:00 +0200<![CDATA[Wenn der Image-Bauer den falschen Brief annimmt: drei Lücken in apko (CVE-2026-42574 / -42575 / -42576) und was Wolfi-Build-Pipelines heute brauchen]]>https://ole-hartwig.eu/advisories/apko-cve-2026-42574-42575-42576-wolfi-image-build-supply-chain-mai-2026https://ole-hartwig.eu/page-1067Mon, 11 May 2026 22:26:06 +0200<![CDATA[MCP-Server in der Breite ausführbar: Was die Anthropic-SDK-Kette für KI-Agenten im Mittelstand bedeutet]]>https://ole-hartwig.eu/advisories/mcp-stdio-rce-anthropic-sdk-mai-2026https://ole-hartwig.eu/page-874Thu, 07 May 2026 22:03:26 +0200<![CDATA[Wenn ein composer install zur Code-Ausführung wird: CVE-2026-40176 und CVE-2026-40261 in der Composer-Lieferkette]]>https://ole-hartwig.eu/advisories/composer-cve-2026-40176-40261-supply-chainhttps://ole-hartwig.eu/page-863Thu, 07 May 2026 10:03:57 +0200<![CDATA[Wenn das CMS Backend-Passwörter im Klartext schreibt: TYPO3 14.2 und CVE-2026-6553]]>https://ole-hartwig.eu/advisories/typo3-cve-2026-6553-cleartext-passwoerterhttps://ole-hartwig.eu/page-862Thu, 07 May 2026 10:00:43 +0200