Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert27. Okt. 2026, 19:17 UTC

29kritisch, letzte 7 Tage 411hoch, letzte 7 Tage 649mittel, letzte 7 Tage 145niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-105642 hoch	Ghost: Remote Code Execution via Bookmark Card Images	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-104714 hoch	Concurrent execution using shared resource with improper synchronization ('race condition') vulnerability in Apache Stru	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-104712 hoch	org.apache.struts/struts2-core: Apache Struts: Denial of Service via resource amplification in tag library	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-104711 hoch	org.apache.struts/struts2-core: Apache Struts: Arbitrary code execution via expression injection in legacy RESTful action mapper	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-93320 hoch	github.com/moby/buildkit: BuildKit: Unintended host device access via special file inodes	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-93318 hoch	github.com/moby/buildkit: BuildKit: arbitrary code execution via cache poisoning from mismatched layer identifiers	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-101919 hoch	hypershift: hypershift: unsanitized kubeconfig passthrough from tenant namespace to control plane	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-102282 hoch	adm-zip: adm-zip: Privilege escalation via unfiltered permission bits in extracted archives	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-104891 hoch	mppx-condition-gate: Free-access path grants on a self-declared wallet without proving control	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-104890 hoch	Kunstmaan CMS: MediaBundle extension blacklist bypass allows authenticated administrators to upload executable PHP files leading to remote code execution	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-63277 hoch	libreoffice: libreoffice: Arbitrary code execution via remote Java database driver	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-19395 hoch	qt-mcu: qt: Denial of Service via empty image tag attribute in styled text	seit spätestens 24. Okt. 2026Build 07:11 UTC	5. Okt. 2026
CVE-2026-105221 hoch	gist: gist: Traffic interception and credential theft via improper TLS certificate validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	4. Okt. 2026
CVE-2026-71889 hoch	org.bouncycastle/bcpkix-jdk18on: org.bouncycastle/bcpkix-fips: org.bouncycastle/bcpkix-jdk15on: org.bouncycastle/bcpkix-lts8on: bouncycastle: Bouncy Castle: Certificate validation bypass via missing name constraint checks	seit spätestens 24. Okt. 2026Build 07:11 UTC	3. Okt. 2026
CVE-2026-71888 hoch	bouncycastle: bouncycastle-fips: Bouncy Castle: Security bypass via unvalidated attributes in CMS AuthenticatedData parser	seit spätestens 24. Okt. 2026Build 07:11 UTC	3. Okt. 2026
GHSA-x8gv-g2g3-65fj hoch	SiYuan Agent Tools SSRF via DNS-Rebinding TOCTOU (Bypass of CheckHostSSRF)	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-cjcg-cxmh-9wcr hoch	Praxis affected by HTTP/2 Bomb	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-5rmq-chc7-m22f hoch	Vibe-Trading file-read tools expose arbitrary server-readable files	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-9q4r-4842-93vw hoch	Trigger.dev: Cross-tenant SQL injection in the TSQL query compiler (POST /api/v1/query) via unsanitized window-function name	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-pqxw-g93w-hj9x hoch	Trigger.dev Self-Hosted Deployment: Default Secrets allow Unauthenticated Infrastructure Compromise	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-5wf9-h793-w73c hoch	Xray-core: Pinning a CA certificate via pinnedPeerCertSha256 can lead to the success of MITM attacks	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-pp95-gc86-jq6q hoch	Trigger.dev: Missing Authentication in Run Replay Action Allows Cross-Organization Task Execution (IDOR)	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104988 hoch	pki-core: dogtag-pki: redhat-pki: pki: EST fullcmc authentication bypass allows certificate mis-issuance with arbitrary subject	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104873 hoch	langgraph-sdk: langgraph-sdk: Authorization bypass via improper resource handler registration	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-xxv7-2vv3-h682 hoch	Trigger.dev: Server-side request forgery via unvalidated webhook alert-channel URL	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-qxpp-qjg8-x4jv hoch	Trigger.dev: Run replay injects a task run into an attacker-chosen environment (cross-tenant write)	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-8mcx-5rqc-vhmf hoch	Dulwich: Arbitrary File Write (RCE) on Windows via Unvalidated Drive Letters in Tree Paths	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-8w8g-wq8h-fq33 hoch	Dulwich: Symlink write-through in checkout(paths=[]) via raw os.open bypasses all symlink protections	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-5fqc-mrg8-w798 hoch	Dulwich: Symlink directory traversal in filter-branch index_filter via cross-commit state persistence	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
GHSA-cm62-gvxx-vmxx hoch	Dulwich: Symlink directory traversal in stash pop allows arbitrary file write via intermediate directory symlinks	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104861 hoch	probe-image-size: probe-image-size: Denial of Service via crafted SVG input	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104859 hoch	@nx/docker: OS command injection in the @nx/docker release pipeline	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104854 hoch	nx: Nx: Arbitrary code execution via insecure socket permissions	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104851 hoch	fsspec: fsspec: arbitrary code execution via unrestricted template rendering in ReferenceFileSystem	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104848 hoch	tinypool: tinypool: arbitrary code execution via prototype pollution in worker options	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-67989 hoch	Polynomial-Time Regular Expression Denial of Service (ReDoS) vulnerability	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104847 hoch	ProseMirror has a XSS vulnerability in prosemirror-view's paste handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104846 hoch	seroval: Seroval: `fromJSON()` Promise thenable assimilation invokes plugin-produced callables (bypass of CVE-2026-59940)	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104845 hoch	seroval: seroval: Denial of Service via unbounded memory allocation during deserialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-104843 hoch	uv: uv: Arbitrary code execution via malicious package extraction on Windows	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103631 hoch	chromium-browser: Buffer overflow in WebRTC	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103630 hoch	chromium-browser: Use after free in FedCM	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103629 hoch	chromium-browser: skia: Integer overflow in Skia	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103628 hoch	chromium-browser: Out of bounds write in WebGL	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103626 hoch	chromium-browser: Incorrect authorization in FileSystem	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103625 hoch	chromium-browser: Type confusion in V8	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103624 hoch	chromium-browser: Use after free in Contextual Tasks	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103623 hoch	chromium-browser: Use after free in MediaStream	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103622 hoch	chromium-browser: Use after free in SVG	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103621 hoch	chromium-browser: Integer overflow in Compositing	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.