Open-Source-Geschäftsplattformen Woche 44 2026: SQL-Injection ohne vorherige Authentifizierung und Codeausführung an der Spitze von 39 Sicherheitshinweisen

Das Release im Überblick

In der Woche vom 26. Oktober bis 1. November 2026 veröffentlichten die Maintainer von WordPress, GLPI, Nextcloud, Moodle, Frappe/ERPNext, Dolibarr und Drupal 39 Sicherheitshinweise, 16 davon mit einer CVE-Kennung und 23 als GitHub-Sicherheitshinweise. Nach Schweregrad sind ein Hinweis kritisch, 17 hoch, 7 mittel und 14 nicht bewertet. Keiner ist in der CISA KEV gelistet, und keiner wird in den öffentlichen Hinweisen als aktiv ausgenutzt gekennzeichnet.

Auf WordPress entfallen 12 der Hinweise, auf GLPI 10, auf Nextcloud und Moodle je 4 sowie auf Frappe/ERPNext, Dolibarr und Drupal je 3. Am dringendsten sind die kritische RCE durch Path-Traversal in Frappe, eine SQL-Injection ohne vorherige Authentifizierung in GLPI und eine RCE über den Staged-Installer von WordPress Core, für die keine korrigierte Version angegeben ist. Dolibarr behebt außerdem eine OS-Command-Injection.

Was am meisten zählt

Frappe/ERPNext — CVE-2026-119145 ist eine kritische Path-Traversal-Schwachstelle beim Datei-Upload (CVSS 4.0 9,4). Ein authentifizierter Angreifer kann Dateien außerhalb des vorgesehenen Speicherverzeichnisses schreiben und so Remotecodeausführung erzielen. CVE-2026-119144 ist eine serverseitige Template-Injection in Nachrichtenfeldern (8,7); ein authentifizierter Benutzer mit einer gängigen operativen Rolle kann Template-Ausdrücke einfügen, die in einem uneingeschränkten Kontext ausgewertet werden. Beide CVEs haben eigene Seiten auf dieser Website.

GLPI — GHSA-753w-2942-4pxm ist eine zeitbasierte SQL-Injection ohne vorherige Authentifizierung in der Planungsfunktion (8,7), korrigiert in 11.0.9. GHSA-hv93-qr6v-7mpj ist eine Race-Condition, die die Installation eines bösartigen Plugin-Archivs ermöglichen kann (8,9), korrigiert in 10.0.27 oder 11.0.9. Weitere GLPI-Hinweise mit hohem Schweregrad betreffen gespeicherte XSS-Lücken in Ticket-Akteuren, Asset-Namen und Modellen von Netzwerkgeräten, eine MFA-Umgehung über das Zurücksetzen des Passworts, das Löschen beliebiger Dateien und das Hochladen bösartiger Dateien; die meisten sind in 11.0.9 korrigiert, einige auch in 10.0.27.

Dolibarr — CVE-2026-116219 ist eine OS-Command-Injection über den mysqldump-Parameter in htdocs/admin/tools/export.php (8,6). Ein authentifizierter Administrator kann durch Verketten von Befehlen mit & um einen auf der Erlaubnisliste stehenden Basisnamen als Webserver-Benutzer Befehle ausführen; korrigiert in 24.0.0. Diese CVE hat eine eigene Seite auf dieser Website.

WordPress — CVE-2026-119977 ist eine Remotecodeausführung über den Staged-Installer ohne vorherige Authentifizierung während des Upgrade-Fensters für das vollständige Core-Paket (8,1). Der veröffentlichte Titel nennt die betroffenen Versionen 4.7.0 bis 7.1.3, und es wird keine korrigierte Version angegeben. Diese CVE hat eine eigene Seite auf dieser Website.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst Sicherheitsupdates für Frappe ein. CVE-2026-119145 ist kritisch und in Frappe 15.121.0 und 16.34.0 korrigiert; CVE-2026-119144 ist in Frappe 15.111.0 und 16.21.0 korrigiert. Wenden Sie die für Ihre Installation passende Aktualisierung an.
2. Spielen Sie Sicherheitsupdates für GLPI ein. GLPI 11.0.9 behebt die SQL-Injection ohne vorherige Authentifizierung, die MFA-Umgehung und die gespeicherten XSS-Lücken in diesem Release. GLPI 10.0.27 ist für die Race-Condition, das Löschen beliebiger Dateien und das Hochladen bösartiger Dateien aufgeführt; wenden Sie die zu Ihrer Installation passende Aktualisierung an.
3. Spielen Sie die Aktualisierung für Dolibarr auf 24.0.0 ein, um CVE-2026-116219 zu beheben.
4. Behandeln Sie die WordPress-Core-Schwachstelle CVE-2026-119977 gesondert: Es ist kein Sicherheitspatch verfügbar und keine Problemumgehung angegeben. Beobachten Sie die Release-Kanäle von WordPress, bis ein Fix bereitsteht.
5. Spielen Sie anschließend die übrigen mittleren und nicht bewerteten Sicherheitsupdates für Moodle, Drupal, Nextcloud und die übrigen WordPress-Hinweise ein, sobald die Maintainer die Korrekturen veröffentlichen.

Über den Patch hinaus

Die meisten schwerwiegenden Schwachstellen dieser Woche sind Injection- oder Codeausführungsprobleme; ein Penetrationstest und eine Härtungsüberprüfung decken sie auf, bevor sie zu operationellem Risiko werden. Unsere Implementierungs- und Bewertungsleistungen prüfen auf Injection-, Deserialisierungs- und Authentifizierungsschwächen wie diese. Da eine erfolgreiche Ausnutzung der kritischen Schwachstellen in Frappe, GLPI oder Dolibarr Aktivitäten nach der Ausnutzung hinterlassen würde, bieten Managed Detection and Response ein Sicherheitsnetz für Codeausführung und Missbrauch von Zugangsdaten, bis die Sicherheitsupdates eingespielt sind.