Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert28. Okt. 2026, 01:21 UTC

27kritisch, letzte 7 Tage 324hoch, letzte 7 Tage 661mittel, letzte 7 Tage 104niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
GHSA-8wvg-r2j4-3737 mittel	Vikunja: Assignee email addresses disclosed to read-only project members via the task assignees endpoint	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
GHSA-3hc7-r24j-rpwc mittel	Vikunja: Cross-project task disclosure through subtask expansion	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
GHSA-g38j-7v97-x298 mittel	Vikunja: CalDAV relation creation bypasses TaskRelation.CanCreate, allowing an unauthorized write into any task by known UID	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107844 mittel	Contao: Path traversal in the images controller	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107843 mittel	Contao: The registration module re-sends activation mails	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107842 mittel	Contao: Protected page content is disclosed to anonymous visitors after contao.search.index_protected is disabled	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107841 mittel	pacioli: A submit consent marker licensed cancellation of caller-named pre-existing documents	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107834 mittel	Coraza: Resource exhaustion via deferred file handle accumulation in multipart body processor	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107833 mittel	Coraza: Unbounded recursion in JSON response body processor causes CPU exhaustion	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107825 mittel	Coraza: ProcessURI silently drops QUERY_STRING and ARGS_GET on URI parse failure — defense-in-depth bypass for non-net/http integrations	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107822 mittel	mariadb: MariaDB: Privilege escalation via ACL cache key collision	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107821 mittel	mariadb: mariadb: Arbitrary code execution via crafted FRM metadata	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107816 mittel	mariadb: mariadb: Information disclosure via embedded null bytes in query cache plugin	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-75597 mittel	pyLoad: Unauthenticated access to /web/<path:filename> bypasses authentication on sensitive templates and leaks internal error details via exception attribute typo	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-48484 mittel	pyLoad: Lack of Input Size Validation Leads to Denial of Service (DoS) and Process Termination	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-108119 mittel	busybox: busybox: tar extraction-root escape via deferred symlink/hardlink creation bypasses CVE-2026-26158 fix	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-108093 mittel	GIMP: gimp: Denial of service via NULL pointer dereference in XCF simulation parasite loading	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
GHSA-9q47-3cm2-2rp8 mittel	pyLoad: Rate-Limit Bypass and Audit-Log Spoofing via Trusted Client-Controlled `X-Forwarded-For` Header	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
GHSA-p3pr-8f3m-4qp8 mittel	pyLoad WindowsPhoneNotify addon: non-admin SETTINGS user triggers SSRF via unguarded http.client notification host	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-108104 mittel	org.xerial.snappy/snappy-java: snappy-java: information disclosure via double release of pooled buffers	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107804 mittel	Nginx UI: Bundled reverse proxy can bypass IP allowlists and enable shared login lockout	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-108063 mittel	A flaw was found in libhangul. When parsing Hanja dictionary files, th ...	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-71884 mittel	org.bouncycastle:bcprov-lts8on: bouncycastle: Information disclosure via keystream reuse in native CTR cipher	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107655 mittel	cups: NULL pointer dereference via embedded job ticket comments allows remote denial of service	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-104635 mittel	protobuf: protobuf: Denial of Service via deeply nested JSON input	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98384 mittel	kernel: bpf: Fix out-of-bounds read of sk_protocol in bpf_sock_destroy()	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98383 mittel	kernel: bpf: Disallow bpf_skb_pull_data() for LWT_SEG6LOCAL	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98382 mittel	kernel: bpf: Reject dev-bound-only programs on other devices	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98381 mittel	kernel: veth: manage XDP program pointers during channel resize	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98380 mittel	kernel: net/sched: reject IDR error pointers when deleting actions	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98379 mittel	kernel: netfilter: ip6t_rpfilter: reject routes without inet6_dev	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98377 mittel	kernel: vlan: require the MAC header to be present in __vlan_insert_inner_tag()	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98376 mittel	kernel: bpf: Use array_map_meta_equal for percpu array inner map replacement	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-98375 mittel	kernel: xen/netfront: drop RX packets with a short Ethernet header	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-101028 mittel	ash: Ash: Information disclosure via missing authorization checks in aggregate queries	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107890 mittel	cups: cups: Denial of Service via repeated IPP group tags	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107889 mittel	keycloak-services: keycloak-services: Stored XSS on login page via kcSanitize bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107888 mittel	cups: CUPS: Denial of Service via deleted temporary printer	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107886 mittel	cups: cups: Denial of Service via double-free in printer class management	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-107885 mittel	cups: cups: Denial of Service via improper job submission timeout handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	9. Okt. 2026
CVE-2026-97032 mittel	net/http: net/http/internal/http2: golang: golang.org/x/net/http2: net/http: Denial of Service via concurrent HPACK encoder modification	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-97030 mittel	html/template: golang: html/template: Cross-site scripting via improper escaping of yield keyword	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-94448 mittel	html/template: golang: golang: cross-site scripting via consecutive expressions in JavaScript template literals	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-94447 mittel	cmd/go: golang: cmd/go: Toolchain checksum verification bypass via crafted project configuration	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-94444 mittel	cmd/go: golang: cmd/go: arbitrary code execution via untrusted module proxy	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-94440 mittel	net/textproto: mime/multipart: golang: golang: Denial of Service via memory limit bypass in multipart form parsing	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-94439 mittel	net/http: golang: net/http: HTTP request smuggling via improper handling of HTTP/1 CONNECT responses	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-78663 mittel	net/http: net/http/internal/http2: golang: golang.org/x/net/http2: golang: flow control limit bypass via double refund in HTTP/2 server	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-78660 mittel	net/http: golang: golang.org/x/net/http2: net/http: HTTP response smuggling via malformed HTTP/2 framing headers	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-78659 mittel	net/http: golang.org/x/net/http2: golang: net/http: Denial of Service via HTTP/2 trailer header memory exhaustion	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.