Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert27. Okt. 2026, 19:17 UTC

29kritisch, letzte 7 Tage 411hoch, letzte 7 Tage 649mittel, letzte 7 Tage 145niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-107230 hoch	org.asynchttpclient/async-http-client: async-http-client: Information disclosure via improper connection pool partitioning	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-105816 hoch	github.com/hashicorp/vault: Vault: Arbitrary code execution via plugin catalog entries in restored snapshots	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107227 hoch	org.asynchttpclient/async-http-client: AsyncHttpClient: Denial of Service via unbounded WebSocket decompression	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107223 hoch	Excelize: Unbounded <col max> attribute is loaded with no MaxColumns check and expanded per-column by flatCols(), so any column mutator hangs or OOMs the process	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107219 hoch	Excelize: Unbounded spinCount in agile decryption burns CPU during OpenFile	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107217 hoch	Excelize ColumnNameToNumber: int64 overflow yields an out-of-domain coordinate with nil error, causing negative slice index panic on r="0" rows	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-56851 hoch	golang.org/x/text: golang.org/x/text: Denial of Service via out-of-bounds slice error in Nickname profile	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107216 hoch	Excelize ANCHORARRAY: mutually-referencing array formulas recurse unboundedly via re-entrant CalcCellValue, causing a fatal stack overflow	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107215 hoch	Excelize: extractPart allocates attacker-controlled, unbounded and negative-sized buffers from CFB directory entries: remote panic / OOM DoS	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107214 hoch	Excelize Decrypt: unrecoverable panics on malformed OLE/CFB encrypted workbooks	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107212 hoch	Excelize: Unbounded row number in Rows.Columns makes GetRows and the Rows iterator loop for days	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-92543 hoch	github.com/moby/moby: Docker Engine: Certificate verification bypass via flawed registry DNS check	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-92542 hoch	github.com/moby/moby: Moby: Unauthorized traffic injection via forged VXLAN datagrams	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-62251 hoch	Homer: Authenticated SQL Injection via Unvalidated rawquery Field in /api/v4/statistics/query	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106557 hoch	Backstage has improper input validation in TechDocs Markdown extension configuration	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107209 hoch	ImageMagick: ImageMagick: Denial of Service via crafted RSVG image	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106580 hoch	ImageMagick: ImageMagick: Information disclosure via missing security policy check in CUT encoder	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106579 hoch	ImageMagick: ImageMagick: Information disclosure via security policy bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106578 hoch	ImageMagick: ImageMagick: Denial of Service via invalid memory free in MVG decoder	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106576 hoch	ImageMagick: ImageMagick: Denial of Service via crafted XMP profile	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106573 hoch	ImageMagick: ImageMagick: Denial of Service via missing limit check in MVG decoder	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106567 hoch	ImageMagick: ImageMagick: Denial of Service via crafted PSD file	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106565 hoch	ImageMagick: ImageMagick: Denial of Service via missing end-of-file check in bzip2 images	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-77214 hoch	expat: expat: Information disclosure via heap buffer over-read in XML_ParseBuffer	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106558 hoch	@backstage/plugin-techdocs-node: @backstage/plugin-techdocs-node: Arbitrary code execution via improper markdown extension configuration	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106556 hoch	plugin-techdocs-node: plugin-techdocs-node: arbitrary command execution via configuration sanitization bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106510 hoch	plugin-techdocs-node: plugin-techdocs-node: Arbitrary code execution via crafted mkdocs configuration	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-46569 hoch	In NTFS-3G before 2026.7.7, a heap buffer overflow exists in ntfs_ib_c ...	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-46434 hoch	wger: Trainer Privilege Escalation - Improper Privilege Management	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-43976 hoch	wger: cross-tenant admin notes/contracts leak via gym=None bypass (5 views)	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-42616 hoch	In NTFS-3G before 2026.7.7, a heap buffer overflow exists in cat() in ...	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-107183 hoch	llama.cpp: llama.cpp: Arbitrary code execution via crafted completion request	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-83742 hoch	Unsigned integer underflow in wstrncat() in src/port.c in wolfSSL wolfSSH from v1.4.11 through v1.5.0 on non-Windows pla	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-83540 hoch	When password or public key authentication is used with the Windows port of wolfSSHd, the Windows logon token acquired f	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-16516 hoch	wolfSSH does not validate that the ECDSA curve identifier in a KEXDH_REPLY host key blob matches the algorithm negotiate	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106471 hoch	candlepin: candlepin: broken object-level authorization via VerifyAuthorizationFilter multi-@Verify hasAccess latching	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-106583 hoch	openssh: openssh: Command injection via unvalidated command-line username	seit spätestens 24. Okt. 2026Build 07:11 UTC	7. Okt. 2026
CVE-2026-86684 hoch	Gitea push mirror local path check uses the repository owner	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106509 hoch	plugin-techdocs-node: Backstage plugin-techdocs-node: Arbitrary code execution via improper MkDocs configuration validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106505 hoch	plugin-techdocs-node: @backstage/plugin-techdocs-node: Backstage plugin-techdocs-node: Arbitrary code execution via MkDocs configuration sanitizer bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106503 hoch	plugin-scaffolder-backend: plugin-scaffolder-backend: Authorization bypass via scaffolder action inputs	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106501 hoch	@backstage/plugin-scaffolder-backend: Backstage: Sensitive information exposure in Scaffolder	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106500 hoch	@backstage/plugin-scaffolder-backend: @backstage/plugin-scaffolder-backend: Unauthorized file manipulation via improper task state validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106555 hoch	openssh: OpenSSH: Information disclosure via GSSAPI authentication state persistence	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106553 hoch	openssh: OpenSSH: Credential disclosure via failed GSSAPI authentication	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106550 hoch	convict: convict: Denial of Service via prototype pollution in config.set()	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106547 hoch	hdf5: hdf5: Arbitrary code execution via heap-based buffer overflow	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106488 hoch	plugin-auth-backend-module-oidc-provider: plugin-auth-backend-module-oidc-provider: Privilege escalation via unverified email addresses	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106459 hoch	Backstage: Improper input validation in Sentry scaffolder actions	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-101258 hoch	ghostscript: ghostscript: -dSAFER sandbox bypass via Type 5 shading OOB write and procedure-stream use-after-free	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.