Kritische API-Schwachstellen in großen SaaS-Plattformen legen Millionen von Benutzerdatensätzen offen. GraphQL-Introspection-Angriffe nehmen stark zu, während Unternehmen auf API-First-Architekturen umsteigen. Eine neue BOLA-Schwachstellenklasse betrifft OAuth-2.0-Implementierungen bei mehr als 40 Identitätsanbietern.
⚡ Fazit: Ihre APIs sind wahrscheinlich stärker exponiert, als Sie denken. Zeit für ein umfassendes API-Sicherheitsaudit.
☁️
Kritisch
CVE-2026-25001 — Massives Datenleck über die Salesforce API
Warum das wichtig ist
Eine Broken-Object-Level-Authorization-Schwachstelle (BOLA) in der Salesforce REST API ermöglicht authentifizierten Benutzern, durch Manipulation von Objekt-IDs auf beliebige Datensätze zuzugreifen. Forschende schätzen, dass mehr als 15.000 Salesforce-Organisationen aufgrund falsch konfigurierter API-Berechtigungen Kundendaten offenlegen könnten.
Auswirkung
Beschreibung
Datenschutzverletzung
Zugriff auf sämtliche Kundendatensätze organisationsübergreifend
Offenlegung personenbezogener Daten
Namen, E-Mail-Adressen, Telefonnummern und Kaufhistorien
Freigaberegeln und Sicherheit auf Datensatzebene prüfen
Sicherheit auf Feldebene für sensible Daten implementieren
Das Salesforce-Tool Security Health Check verwenden
🔐
Kritisch
CVE-2026-25112 — Schwachstelle zur OAuth-2.0-Token-Injektion
Warum das wichtig ist
Eine Schwachstelle im OAuth-2.0-Autorisierungscodefluss betrifft mehr als 40 Identitätsanbieter, darunter Okta, Auth0 und individuelle Implementierungen. Angreifer können schädliche Token einschleusen, um Benutzersitzungen in verbundenen Anwendungen zu übernehmen.
👤
Kontoübernahme
In allen über OAuth verbundenen Anwendungen
🔓
Sitzungsübernahme
Ohne Diebstahl von Zugangsdaten
🛡️
MFA-Umgehung
In nachgelagerten Anwendungen
🔄
Dauerhafter Zugriff
Durch den Diebstahl von Aktualisierungstoken
Erforderliche Maßnahmen
OAuth-Bibliotheken auf gepatchte Versionen aktualisieren
PKCE für alle Autorisierungscodeflüsse implementieren
Angreifer nutzen GraphQL-Introspection-Abfragen, um API-Schemata abzubilden und sensible Endpunkte zu entdecken. Bei 67 % der produktiven GraphQL-APIs ist Introspection aktiviert, wodurch interne Datenstrukturen und potenzielle Schwachstellen offengelegt werden.
Erforderliche Maßnahmen
Introspection in Produktionsumgebungen deaktivieren
Begrenzung der Abfragetiefe implementieren
Ratenbegrenzung pro Benutzer und pro Abfrage aktivieren
Persistierte Abfragen zur Einschränkung von Operationen verwenden
GraphQL-spezifische WAF-Regeln einsetzen
💳
Offenlegung
Offenlegung von Stripe API-Schlüsseln durch clientseitigen Code
Warum das wichtig ist
Sicherheitsforschende fanden mehr als 12.000 Websites, die versehentlich geheime Stripe API-Schlüssel in clientseitigem JavaScript offenlegen. Angreifer können diese Schlüssel für Rückerstattungsbetrug, den Diebstahl von Kundendaten und betrügerische Transaktionen nutzen.
Kritisch: Wenn Sie Stripe verwenden, prüfen Sie Ihren Frontend-Code unverzüglich. Offengelegte geheime Schlüssel können Ihr Händlerkonto leeren.
Erforderliche Maßnahmen
Frontend-Code auf offengelegte API-Schlüssel prüfen
Eingeschränkte Stripe-Schlüssel mit minimalen Berechtigungen verwenden
Stripe Radar zur Betrugserkennung aktivieren
Stripe ausschließlich serverseitig integrieren
Secret-Scanning in CI/CD-Pipelines einsetzen
🚦
Forschung
Techniken zur Umgehung der REST-API-Ratenbegrenzung
Warum das wichtig ist
Neue Forschungsergebnisse zeigen Techniken zur Umgehung gängiger API-Ratenbegrenzungen mithilfe von HTTP/2-Multiplexing, Header-Manipulation und verteilten Angriffen. Viele APIs sind anfälliger für Missbrauch, als Betreiber annehmen.
API-Gateways mit fortschrittlicher Ratenbegrenzung verwenden
Anomalieerkennung für API-Datenverkehr aktivieren
Ratenbegrenzungen mit modernen Umgehungstechniken testen
Die Implementierung von API-Kontingenten und Abrechnung erwägen
🎟️
Anhaltend
JWT-Algorithmusverwechslungsangriffe
Warum das wichtig ist
Angreifer nutzen weiterhin JWT-Implementierungen aus, die für Algorithmusverwechslung (alg:none, RS256→HS256) anfällig sind. Viele individuelle JWT-Bibliotheken und ältere Frameworks bleiben verwundbar.
Erforderliche Maßnahmen
Ausschließlich gut gepflegte JWT-Bibliotheken verwenden
Den erwarteten Algorithmus serverseitig ausdrücklich validieren
Den Algorithmus „none“ niemals in der Produktion akzeptieren
Asymmetrische Algorithmen (RS256/ES256) für öffentliche APIs verwenden
Einen Mechanismus zum Widerruf von JWT-Token implementieren