Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert28. Okt. 2026, 01:21 UTC

27kritisch, letzte 7 Tage 324hoch, letzte 7 Tage 661mittel, letzte 7 Tage 104niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-115877 mittel	twisted: Twisted: HTTP request smuggling via improper header delimiter handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115774 mittel	twisted: twisted: Denial of Service via negative size in IMAP search command	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
GHSA-2rqm-h6hv-g79v mittel	odf-kit has HTML injection leading to XSS in odsToHtml() via unescaped style attribute values	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
GHSA-mhf7-xp6r-6qrc mittel	Livewire: Authorization bypass in #[Authorize] via reordered parameter keys and #[Json] execution order	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
GHSA-h53f-rm2w-w7rg mittel	Echo: X-Real-IP extractor trusts the header value instead of the sending peer	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
GHSA-x9ff-22gv-65f4 mittel	Echo: BodyDump can discard BodyLimit overflow errors for unknown-length requests	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115586 mittel	virtualenv: virtualenv: Arbitrary code execution via unescaped prompt in bash activation script	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115585 mittel	pypdf: pypdf: Denial of Service via malformed cross-reference streams	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115580 mittel	pypdf: pypdf: Denial of Service via excessive cross-reference table entries	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115572 mittel	pypdf: pypdf: Denial of Service via repeated nonexistent object references	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
GHSA-xp3q-r38w-vgqm mittel	SiYuan: The publish filter for local storage returns the administrator's entire storage map with only three keys sanitized	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115567 mittel	Tokio: Race condition in `tokio::time::Interval`	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115754 mittel	serialize-javascript: serialize-javascript: Cross-site scripting via unescaped function serialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-90458 mittel	openstack-ironic: openstack-ironic: Redfish vendor_passthru subscription id path traversal	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-89419 mittel	openstack-ironic: openstack-ironic: maintenance state update bypasses set_maintenance policy via generic PATCH	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115486 mittel	open-iscsi: open-iscsi: IPv6 Neighbor Discovery missing option length validation in iscsiuio allows ARP table poisoning	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115485 mittel	open-iscsi: open-iscsi: DHCPv6 vendor option strlen heap out-of-bounds read and 1-byte write in iscsiuio	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115484 mittel	open-iscsi: open-iscsi: DHCPv4 option parser heap out-of-bounds read in iscsiuio parse_msg	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115424 mittel	oc: oc: Symlink/hardlink target validation bypass in oc image extract allows file write outside destination	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115221 mittel	ipa: freeIPA: FreeIPA uses subject CN as proof of certificate ownership	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114620 mittel	authlib: Authlib: Server-Side Request Forgery via unvalidated request URI	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114619 mittel	authlib: authlib: authorization bypass via improper scope check in OpenID implicit grant	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114618 mittel	authlib: Authlib: Unauthorized access via improper JWT audience validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114617 mittel	authlib: Authlib: Authentication bypass via disabled nonce verification in OpenID Connect tokens	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115391 mittel	wasmtime: wasmtime: Denial of Service via unbounded buffering in WASIp3 write streams	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115390 mittel	wasmtime: wasmtime: Denial of Service via fuel accounting flaw	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115383 mittel	wasmtime: wasmtime: Denial of Service via improper validation of WebAssembly tag imports	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115382 mittel	wasmtime: wasmtime: Denial of Service via zero timeout in HTTP request option	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115379 mittel	wasmtime: Wasmtime: Denial of Service via missing garbage collection rooting	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115378 mittel	github.com/lxc/incus: Incus: Arbitrary file write on the host via recursive file pull	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115373 mittel	github.com/lxc/incus: Incus: Information disclosure via missing authorization check in operations endpoint	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115365 mittel	github.com/openbao/openbao: OpenBao: Privilege escalation via ACL policy cache namespace traversal	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115354 mittel	mistune: mistune: Information disclosure via path traversal in Include directive	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115351 mittel	mistune: mistune: Information disclosure via CSS injection in figure directive	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115350 mittel	mistune: mistune: Cross-site scripting via Include directive	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114608 mittel	pylint: pylint: Arbitrary code execution via untrusted cache deserialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114603 mittel	opentelemetry-api: opentelemetry-api: Denial of Service via regular expression backtracking in header parsing	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114348 mittel	webpack-dev-server: webpack-dev-server: Information disclosure via malformed Host header	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114570 mittel	wordpress: WordPress: Stored Cross-Site Scripting via unescaped display names in Quick Edit	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114732 mittel	roundcubemail: roundcubemail: Unauthorized account access via alias login in multi-host environments	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114722 mittel	roundcubemail: Roundcube Webmail: Interface spoofing via CSS scoping bypass in HTML messages	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114718 mittel	roundcubemail: roundcubemail: Cross-site scripting via unescaped password driver error messages	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114508 mittel	Laravel relationship inclusion can trigger unauthorized data destruction	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026
CVE-2026-96642 mittel	pillow: Pillow: Denial of Service via negative archive member size in TarIO	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026
CVE-2026-96641 mittel	pillow: pillow: Denial of Service via integer overflow in text-width calculation	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026
CVE-2026-96638 mittel	pillow: pillow: Denial of Service via crafted RLE BMP image	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026
CVE-2026-96637 mittel	pillow: pillow: Denial of Service via decompression bomb bypass in SPIDER images	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026
CVE-2026-96636 mittel	pillow: pillow: Denial of Service via decompression bomb check bypass in multi-frame images	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026
CVE-2026-85518 mittel	openscap: openscap: Arbitrary file write via path traversal in Source DataStream decomposition	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026
CVE-2026-114438 mittel	keycloak-services: keycloak-services: Required OTP enrollment bypassed via Update User Locale required action ordering	seit spätestens 24. Okt. 2026Build 07:11 UTC	21. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.