🟠 CVE-2025-15389 - High (8.8)

VPN Firewall developed by QNO Technology has an OS Command Injection vulnerability, allowing authenticated remote attackers to inject arbitrary OS commands and execute them on the server.

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-15389/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🟠 CVE-2025-68989 - High (7.5)

Insertion of Sensitive Information Into Sent Data vulnerability in Renzo Johnson Contact Form 7 Extension For Mailchimp contact-form-7-mailchimp-extension allows Retrieve Embedded Sensitive Data.This issue affects Contact Form 7 Extension For Mail...

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-68989/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🟠 CVE-2025-15113 - High (7.8)

Ksenia Security Lares 4.0 Home Automation version 1.6 contains an unprotected endpoint vulnerability that allows authenticated attackers to upload MPFS File System binary images. Attackers can exploit this vulnerability to overwrite flash program ...

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-15113/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🔴 CVE-2025-68990 - Critical (9.8)

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in xenioushk BWL Pro Voting Manager bwl-pro-voting-manager allows Blind SQL Injection.This issue affects BWL Pro Voting Manager: from n/a through &l...

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-68990/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🟠 CVE-2025-15271 - High (8.8)

FontForge SFD File Parsing Improper Validation of Array Index Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of FontForge. User interaction is required to exploit...

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-15271/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🟠 CVE-2025-68988 - High (7.5)

Exposure of Sensitive System Information to an Unauthorized Control Sphere vulnerability in o2oe E-Invoice App Malaysia einvoiceapp-malaysia allows Retrieve Embedded Sensitive Data.This issue affects E-Invoice App Malaysia: from n/a through <= ...

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-68988/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🟠 CVE-2025-15280 - High (8.8)

FontForge SFD File Parsing Use-After-Free Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of FontForge. User interaction is required to exploit this vulnerability ...

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-15280/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🟠 CVE-2025-68981 - High (8.8)

Missing Authorization vulnerability in designthemes HomeFix Elementor Portfolio homefix-ele-portfolio allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects HomeFix Elementor Portfolio: from n/a through <= 1....

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-68981/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

🔴 CVE-2025-68985 - Critical (9.8)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in thembay Aora aora allows PHP Local File Inclusion.This issue affects Aora: from n/a through <= 1.3.15.

🔗 https://www.thehackerwire.com/vulnerability/CVE-2025-68985/

#CVE #vulnerability #infosec #cybersecurity #security #Tenda

Vulnerabilità critica in Apache StreamPipes: aggiornamento urgente necessario

Apache StreamPipes è una piattaforma open-source per l’analisi e l’elaborazione di dati in tempo reale (streaming analytics), pensata soprattutto per IoT, Industria 4.0 e sistemi di monitoraggio.

In parole semplici: serve a raccogliere, elaborare e analizzare flussi continui di dati (sensori, log, eventi, stream) senza dover scrivere molto codice.

Una vulnerabilità recentemente scoperta identificata come CVE-2025-47411, rivela che il meccanismo di identificazione dell’utente dello strumento può essere sfruttato per consentire agli utenti standard di assumere il controllo amministrativo totale.

Il team di sviluppo ha chiuso la vulnerabilità nell’ultima versione del software. Agli utenti che utilizzano le versioni interessate si consiglia di eseguire l’aggiornamento alla versione 0.98.0, che risolve il problema.

Secondo quanto affermato, un utente con un account legittimo e non amministratore può sfruttare questa vulnerabilità la quale colpisce un’ampia gamma di installazioni, in particolare le versioni di Apache StreamPipes dalla 0.69.0 alla 0.97.0.

Questo furto di identità viene realizzato “manipolando i token JWT”, le credenziali sicure utilizzate per gestire le sessioni utente. Creando token specifici, un aggressore può ingannare il sistema facendogli credere di essere l’amministratore, aggirando i controlli standard dei privilegi.

La vulnerabilità consente a un aggressore di “scambiare il nome utente di un utente esistente con quello di un amministratore”. Per uno strumento progettato per gestire i dati dell’IoT industriale, le implicazioni di un’acquisizione amministrativa sono gravi.

Una volta ottenuto il controllo amministrativo, un aggressore può mettere in atto “manomissioni dei dati, accessi non autorizzati e altre violazioni della sicurezza “. Ciò potrebbe consentire a malintenzionati di corrompere i dati analitici o interrompere il flusso di informazioni negli ambienti industriali.

L'articolo Vulnerabilità critica in Apache StreamPipes: aggiornamento urgente necessario proviene da Red Hot Cyber.