Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert28. Okt. 2026, 01:21 UTC

27kritisch, letzte 7 Tage 324hoch, letzte 7 Tage 661mittel, letzte 7 Tage 104niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-56866 mittel	net/http: golang: golang: Cross-user response poisoning via desynchronized HTTP CONNECT connections	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107651 mittel	eog: eog: arbitrary code execution via heap buffer overflow in PNG metadata reader	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107721 mittel	fast-jwt clockTolerance: Infinity silently bypasses both exp and nbf validation (and persists in the verifier cache)	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107719 mittel	fast-jwt: Verifier cache accepts expired JWTs without iat.	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107718 mittel	http-server: http-server: Open redirect via unencoded route parameters	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107717 mittel	banks: banks: Chat role injection via untrusted template input	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107715 mittel	mechanize: mechanize: Information disclosure via cross-domain HTTP redirect	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107714 mittel	mechanize: mechanize: Information disclosure via improper redirect scheme and port handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107399 mittel	mechanize: mechanize: Information disclosure via cross-origin meta refresh	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107778 mittel	krb5: krb5: Denial of Service via crafted forwarded credentials	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107708 mittel	krb5: krb5: Denial of Service via malformed PAC in S4U2Proxy requests	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107397 mittel	Indico: Cross-Site-Scripting in minutes editor	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-106435 mittel	pymongo: pymongo: Denial of Service via out-of-bounds read during malformed BSON decoding	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107705 mittel	poppler: poppler: Denial of Service via stack-based buffer overflow in PDF decryption	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107396 mittel	Indico: Cross-Site-Scripting in link fields	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107395 mittel	Indico: Missing access check in legacy session export API	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107394 mittel	Indico: Incomplete Server-Side Request Forgery (SSRF) check	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107389 mittel	music-metadata: EBML parser trusts element lengths, allowing memory exhaustion or process abort	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-106436 mittel	php-pecl-mongodb: php-pecl-mongodb: Denial of Service via oversized BSON encoding	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-95209 mittel	gnutls: gnutls: legitimate CA certificates incorrectly rejected causing denial of service	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-88648 mittel	gnutls: gnutls: Cross-domain certificate restriction bypass via incomplete X.509 validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-67693 mittel	gnutls: gnutls: Information disclosure via contradictory Key Usage and Extended Key Usage extensions	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107388 mittel	music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107387 mittel	music-metadata: Uncontrolled memory allocation in APEv2 parser	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107386 mittel	github.com/rabbitmq/amqp091-go: amqp091-go: Denial of Service via excessive memory allocation during frame parsing	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107382 mittel	MariaDB Connector/Node.js: Uncaught exception crashes the client during ed25519 authentication with zero-configuration TLS	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107325 mittel	go.mongodb.org/mongo-driver: MongoDB Go Driver: Denial of Service via malformed BSON array input	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107324 mittel	go.mongodb.org/mongo-driver: MongoDB Go Driver: Denial of Service via integer overflow in BSON processing	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-95210 mittel	gnutls: gnutls: certificates with invalid extensions incorrectly accepted	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-95184 mittel	gnutls: gnutls: legitimate user certificates incorrectly rejected causing denial of service	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-93861 mittel	openstack-mistral: mistral: workflow membership sub-delegation allows unauthorized access grant to private workflows	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-93860 mittel	openstack-mistral: mistral: Unauthenticated-project user can trigger global maintenance mode causing cross-tenant denial of service	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107698 mittel	ffmpeg: ffmpeg: Server-Side Request Forgery via unvalidated RTSP redirects	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107697 mittel	ffmpeg: ffmpeg: Security restriction bypass via crafted HLS master playlist	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107696 mittel	ffmpeg: ffmpeg: Denial of Service via unlimited RTSP redirects	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107695 mittel	ffmpeg: ffmpeg: Denial of Service via crafted HLS playlist	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107380 mittel	enshrined/svg-sanitize: Stored XSS via DTD Entity / HTML5 Named Character Reference Collision	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107379 mittel	enshrined/svg-sanitize: Denial of Service via DTD Attribute Declaration Crash	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
GHSA-w253-m66g-rx24 mittel	Coraza: URL-encoded form Content-Type parameters bypass Coraza body inspection	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
GHSA-3wr7-993q-jrff mittel	Coraza: Multipart filename* (RFC 5987) charset restriction lets a decoy filename bypass FILES-based rules	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
GHSA-g4qm-m288-5cp9 mittel	Coraza has Cookie Parser Confusion	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
GHSA-5gj4-9gm7-2fx2 mittel	Coraza body processor has a JSON key collision that allows unauthenticated attackers to bypass OWASP CRS inspection	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-88647 mittel	gnutls: gnutls: Information disclosure via hostname verification bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-61801 mittel	github.com/moby/sys/user: moby/sys/user: Denial of Service via crafted user or group database files	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107301 mittel	msgpack5: Partial options disable prototype protection	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107299 mittel	msgpack5: Reserved byte can cause unbounded stream buffering	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107298 mittel	msgpack5: Deeply nested input can exhaust the decoder stack	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107297 mittel	msgpack5: Quadratic parsing in the streaming decoder	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107294 mittel	pydantic-ai: pydantic-ai: Denial of Service via unbounded HTTP response buffering	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026
CVE-2026-107293 mittel	pydantic-ai: pydantic-ai: Information disclosure via OpenTelemetry retry prompt logging	seit spätestens 24. Okt. 2026Build 07:11 UTC	8. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.