Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert27. Okt. 2026, 19:17 UTC

29kritisch, letzte 7 Tage 411hoch, letzte 7 Tage 649mittel, letzte 7 Tage 145niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-94633 hoch	thrift: thrift: Denial of Service via excessive memory allocation in Dart bindings	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-93926 hoch	thrift: thrift: Denial of Service via memory leak in THeaderTransport	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-93925 hoch	thrift: thrift: Denial of Service via stack-based buffer overflow in THeaderProtocol	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-91137 hoch	thrift: Apache Thrift: PHP `thrift_protocol` accelerator: zero-byte container elements	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-91135 hoch	thrift: Apache Thrift: Arbitrary code execution via heap-based buffer overflow during frame compression	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-85494 hoch	thrift: thrift: Denial of Service via improper message handling in language bindings	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-85493 hoch	thrift: Apache Thrift, Apache Thrift: TProtocolUtil.skip follows peer-chosen nesting to any depth the stack allows (Dart, Java ME)	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-94639 hoch	improper handling of exceptional conditions, Allocation of resources w ...	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-94635 hoch	thrift: thrift: Denial of Service via improper length parameter handling in Lua bindings	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-94634 hoch	thrift: Apache Thrift: Python `TJSONProtocol` has a string length limit that is off by default	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103885 hoch	org.apache.directory.api/api-ldap-model: Apache Directory LDAP API: Denial of Service via crafted telephone numbers	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103877 hoch	org.apache.directory.api/api-ldap-client-api: Apache Directory LDAP API: Remote code execution via untrusted Java object deserialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-103552 hoch	org.apache.directory.api/api-ldap-codec-core: Apache Directory LDAP API: Denial of Service via deeply nested search filter	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-102731 hoch	org.apache.directory.api/api-asn1-ber: Apache Directory LDAP API: Denial of Service via excessive memory allocation	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-17507 hoch	In Bouncy Castle for Java before 1.86, the MLS implementation (org.bou ...	seit spätestens 24. Okt. 2026Build 07:11 UTC	2. Okt. 2026
CVE-2026-86344 hoch	389-ds-base: 389-ds-base: unauthenticated worker-thread-pool exhaustion via completed-operation-then-incomplete-PDU connection requeue	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-51886 hoch	Langflow: Title Authenticated Remote Code Execution in validate_code via Malicious Decorators Description	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-96780 hoch	figlet is vulnerable to denial of service via unbounded loop when whitespaceBreak is used with a small width	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-54049 hoch	Sakai Conversations has a Stored XSS Issue	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-53964 hoch	Document Merge Service vulnerable to RCE via SSTI (xlsx tempaltes)	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-103484 hoch	pgvector: pgvector: Arbitrary code execution via out-of-bounds write during IVFFlat index build	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-15911 hoch	confluent-kafka: confluent-kafka: Information disclosure via improper TLS certificate validation in HashiCorp Vault integration	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-12542 hoch	foreman: command injection in foreman-tail	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2023-54404 hoch	zod: zod: Denial of service via unbounded array validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-96659 hoch	foreman: Excessive Permissions for Viewer Role on Preview	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-96658 hoch	foreman: Foreman: Arbitrary code execution via safemode sandbox bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-73636 hoch	httpd: httpd: Authentication bypass via credential replay in mod_auth_digest	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-63718 hoch	httpd: httpd: HTTP response smuggling via crafted Transfer-Encoding response in mod_proxy_uwsgi	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-63686 hoch	httpd: httpd: Denial of Service via charset conversion failure in mod_xml2enc	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-63292 hoch	httpd: httpd: Arbitrary code execution via oversized Host header in mod_vhost_alias	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-59685 hoch	httpd: httpd: Denial of Service via out-of-bounds write during Windows path expansion	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-56154 hoch	httpd: httpd: Denial of Service via mod_rewrite lookahead	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-56153 hoch	httpd: httpd: Denial of Service via heap-based buffer overflow in mod_charset_lite	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-12544 hoch	foreman: SSTI and insecure deserialization in foreman-rake configuration	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-12541 hoch	foreman: command injection in foreman-rake database tasks	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-12540 hoch	foreman: command injection in foreman-rake errors:fetch_log via request_id parameter	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-12423 hoch	foreman: unauthenticated information disclosure via provisioning token validation flaw	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-12405 hoch	rubygem-foreman_remote_execution: command injection in job invocations via effective_user parameter	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-103921 hoch	GraphQL Tools: TLS Certificate Validation Disabled in Legacy GraphQL WebSocket Executor	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
GHSA-9cqf-hhrq-7v45 hoch	SiYuan: getAttributeViewSearchTarget returns database row content to anonymous readers with no publish-access check, reopening the class closed one day earlier at the adjacent route	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-46729 hoch	httpd: httpd: mod_heartmonitor: Denial of Service via NULL pointer dereference	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
GHSA-mcm9-63f2-9j32 hoch	devalue: Repeated primitive strings cause quadratic expansion in uneval	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
GHSA-r9w8-h9r3-54w4 hoch	devalue: Custom ArrayBuffer revivers can bypass typed-array allocation validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
GHSA-x5rw-q4pp-hg5g hoch	devalue: stringifyAsync can cause an unhandled rejection despite a caught returned promise	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-94250 hoch	Apache APISIX: Batch response aggregation can exhaust worker memory	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-103678 hoch	A flaw was found in tnef. An attacker can exploit this vulnerability b ...	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-103292 hoch	Ghost 0.5.3 before 6.50.0 Cross-Site Scripting via ghost_head	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-103289 hoch	Ghost 5.9.0 before 6.44.1 Authorization Bypass via Comments	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-103286 hoch	Ghost 2.21.0 before 6.56.0 Privilege Escalation via Notifications	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026
CVE-2026-103283 hoch	Ghost 6.20.0 before 6.57.1 Authentication Bypass via Session Handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	1. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.