Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert28. Okt. 2026, 01:21 UTC

27kritisch, letzte 7 Tage 324hoch, letzte 7 Tage 661mittel, letzte 7 Tage 104niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-101609 mittel	mysql: mysql: Denial of service in InnoDB	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101608 mittel	mysql: mysql: Denial of Service via Server Optimizer component	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101607 mittel	mysql: mysql: Denial of Service in Server Optimizer	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101516 mittel	openjdk: Enhance Certificate Constraint Checking (Oracle CPU 2026-10)	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-92388 mittel	curl: curl: FTP wildcard write callback mixup	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113868 mittel	thunderbird: Thunderbird: information disclosure via malformed authentication challenge	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113867 mittel	thunderbird: thunderbird: Unauthorized actions via XMPP stanza injection	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113866 mittel	thunderbird: thunderbird: Information disclosure via unencrypted AutoDiscover lookup	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113724 mittel	virtualenv: virtualenv: Insecure file permission modification via symlink following	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113721 mittel	virtualenv: virtualenv: Arbitrary file overwrite via insecure symlink handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113720 mittel	virtualenv: virtualenv: Arbitrary code execution via insecure cached file permissions	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113719 mittel	virtualenv: virtualenv: Arbitrary file deletion via path traversal in package metadata	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113718 mittel	virtualenv: virtualenv: arbitrary code execution via improper quoting in xonsh activation scripts	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113717 mittel	virtualenv: virtualenv: Integrity verification bypass via pip seeder download option	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113716 mittel	virtualenv: virtualenv: Unauthorized file write via symlink following	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113715 mittel	virtualenv: virtualenv: Environment isolation bypass via crafted destination path	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113714 mittel	virtualenv: virtualenv: Unverified package installation via premature cache storage	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113713 mittel	virtualenv: virtualenv: Arbitrary code execution via insecure temporary cache symlinks	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113712 mittel	Cachet has Stored XSS in Incident Component	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113710 mittel	ApostropheCMS: No Attempt Throttling on Authenticated Password-Change Endpoint Enables Unlimited Current-Password Guessing	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113671 mittel	ApostropheCMS: Host header controls server-side image fetch origin in @apostrophecms/ai-helper, enabling authenticated SSRF	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113669 mittel	ApostropheCMS: Cross-domain session token in URL confers session takeover	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113668 mittel	ApostropheCMS: :_id/locales REST route omits the public-API authorization gate its sibling read routes enforce (unauthenticated doc-existence + locale metadata disclosure)	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113667 mittel	ApostropheCMS: CAPTCHA response token not URL-encoded	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113664 mittel	ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113662 mittel	ApostropheCMS import-export: NoSQL injection via update-key value lets a crafted import match and overwrite an unidentified document	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113661 mittel	sanitize-html: sanitize-html: Cross-site scripting via unsafe meta refresh content attributes	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113660 mittel	ApostropheCMS: Authenticated Object-Level Authorization Bypass in exist-in-locale Reveals Restricted Localized Draft Identifiers	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113659 mittel	ApostropheCMS: Client-side Prototype Pollution in apos.http.parseQuery leading to DOM-based XSS against authenticated users	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113656 mittel	ApostropheCMS: Unauthenticated unbounded multipart upload → disk-exhaustion DoS	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113655 mittel	ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113654 mittel	sanitize-html: sanitize-html: HTML sanitization bypass via improper noscript tag handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113653 mittel	ApostropheCMS: The general public can access @apostrophecms/user objects via a relationship (viewRole is not applied to the general public)	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113652 mittel	ApostropheCMS uploadfs Azure backend leaks account-level SAS token into every public attachment URL (sas: true)	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113650 mittel	sanitize-html: sanitize-html: Denial of Service via unbounded recursion in iframe tag processing	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113649 mittel	ApostropheCMS: Import API bypasses publication roles for protected content	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112958 mittel	ApostropheCMS: Stored XSS via Unescaped Widget Style Attribute Serialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112957 mittel	ApostropheCMS: GET /api/v1/@apostrophecms/page/:id bypasses viewRole restriction and exposes viewPermission-gated fields to lower-privileged users	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113602 mittel	net.minidev/json-smart: json-smart: Input validation bypass via substitute character in strict mode	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112956 mittel	ApostropheCMS: Archive duplicate continuation lets contributors overwrite published content	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112955 mittel	ApostropheCMS: Import archives can exhaust server storage and deny service	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112954 mittel	ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112953 mittel	ApostropheCMS: Exposure of Sensitive Information via predictable export filenames	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112952 mittel	ApostropheCMS: POST /api/v1/@apostrophecms/doc/slugTaken discloses existence of private/admin-only content to any authenticated user	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112951 mittel	ApostropheCMS: Color field validation bypass allows stored XSS via HTML appended after rgb()/hsl() prefix	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112950 mittel	Vitest: Windows backslash traversal bypasses the @vitest/mocker redirect allowlist fix	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112949 mittel	vitest: Vitest: Cross-site scripting via unescaped mock module URL	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112948 mittel	vitest: vitest: Information disclosure via improper file access restrictions	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112947 mittel	vite: vite: Information disclosure via crafted WebAssembly query parameter	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112945 mittel	vite: vite: Arbitrary script execution via improper URL handling during HTML transformation	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.