Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert28. Okt. 2026, 01:21 UTC

27kritisch, letzte 7 Tage 324hoch, letzte 7 Tage 661mittel, letzte 7 Tage 104niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-105267 mittel	code.gitea.io/gitea: Gitea: Unauthorized release deletion via tag deletion endpoint	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-104633 mittel	code.gitea.io/gitea: Gitea: Denial of Service via unbounded pagination loop during repository migration	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-101023 mittel	code.gitea.io/gitea: Gitea: Prolonged access via improper OAuth2 token type validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-19029 mittel	hdf5: HDF5: Denial of Service via crafted file in scale-offset filter	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106586 mittel	openssh: OpenSSH: Security restriction bypass via unenforced restrict directive in tunnel forwarding	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106585 mittel	openssh: openssh: Denial of service via oversized decompressed packets	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106552 mittel	openssh: openssh: Arbitrary file write via directory traversal during sftp recursive copy	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106494 mittel	@backstage/backend-defaults: @backstage/backend-defaults: Content injection via crafted cloud storage object names	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106493 mittel	backstage: Backstage: Information disclosure via improper object path validation in cloud storage catalog providers	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106492 mittel	@backstage/backend-defaults: @backstage/backend-defaults: Access control bypass via improper service credential delegation	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106491 mittel	plugin-proxy-backend: plugin-proxy-backend: Request forwarding outside configured base path via crafted URL	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106490 mittel	Backstage: Improper input validation in TechDocs static content requests	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106489 mittel	@backstage/plugin-techdocs-backend: Backstage: Information disclosure via improper authorization in TechDocs backend	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106487 mittel	plugin-kubernetes-backend: plugin-kubernetes-backend: Information disclosure via catalog cluster authentication handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106463 mittel	@backstage/plugin-catalog-backend-module-gitlab: Backstage plugin-catalog-backend-module-gitlab: Unauthorized access via improper GitLab user ingestion	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106462 mittel	backstage: Backstage: Privilege escalation via improper credential boundary enforcement	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106461 mittel	plugin-scaffolder-backend: plugin-scaffolder-backend: Information disclosure via incorrect authorization in task listing	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106460 mittel	@backstage/plugin-auth-node: @backstage/plugin-auth-node: Privilege escalation via improper email verification	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106458 mittel	Backstage: Inconsistent repository filtering in Bitbucket Server catalog event updates	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106456 mittel	plugin-proxy-backend: plugin-proxy-backend: Authentication bypass via overlapping proxy routes	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106455 mittel	@backstage/plugin-techdocs-node: @backstage/plugin-techdocs-node: Information disclosure via improper MkDocs configuration validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-104045 mittel	sssd: sssd: Denial of Service via race condition in autofs responder	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-96589 mittel	Gitea private repository access retained after rejected transfer	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-96400 mittel	Gitea migration SSRF to reserved addresses through ALLOWED_DOMAINS	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-95112 mittel	Gitea issue reference parsing CPU exhaustion	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-94114 mittel	org.apache.bcel/bcel: Apache Commons BCEL: Security verification bypass via unvalidated class caching	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-76061 mittel	cri-o: CRI-O: bind_mount_prefix intermediate-symlink prefix bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106454 mittel	twisted: Twisted: Denial of Service via regular expression backtracking in IMAP search patterns	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106453 mittel	org.lz4/lz4-java: lz4-java: Denial of Service via untrusted decompressed length header	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106452 mittel	org.lz4/lz4-java: lz4-java: Denial of Service via excessive memory allocation	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106451 mittel	org.lz4/lz4-java: lz4-java: Arbitrary code execution via insecure temporary file handling	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106450 mittel	org.lz4/lz4-java: lz4-java: Denial of Service via excessive memory allocation from crafted compressed streams	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106444 mittel	handlebars: Handlebars: Cross-Site Scripting via unescaped closing script tags in precompiled templates	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-105111 mittel	org.apache.bcel/bcel: Apache Commons BCEL: Stored Cross-Site Scripting via untrusted class files in Class2HTML	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-103667 mittel	Gitea container registry stored XSS through blob media type	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-103008 mittel	elasticsearch: elasticsearch: Denial of Service via uncontrolled recursion in scripted runtime fields	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-103006 mittel	elasticsearch: Elasticsearch: Denial of Service via deeply nested search aggregations	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-103005 mittel	elasticsearch: Elasticsearch: Denial of Service via excessive memory allocation in connector descriptions	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-102412 mittel	Incorrect Authorization in Kibana Leading to Sensitive Information Disclosure	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-102411 mittel	elasticsearch: Elasticsearch: Denial of Service via excessive memory allocation during index template retrieval	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-102410 mittel	Missing Authorization in Kibana Leading to Information Disclosure	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-102409 mittel	elasticsearch: Elasticsearch: Denial of Service via uncontrolled recursion	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-102408 mittel	elasticsearch: elasticsearch: Denial of Service via crafted regular expressions in ES\|QL CHUNK function	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-102407 mittel	elasticsearch: elasticsearch: unauthorized data modification via Modify Data Streams API	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-102404 mittel	elasticsearch: Elasticsearch: Denial of Service via uncontrolled memory consumption from crafted queries	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-101029 mittel	Gitea migration and pull mirror SSRF through multi-answer DNS	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-83550 mittel	postgres-exporter: net/http/pprof exposed on metrics listener	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106425 mittel	chromium-browser: Missing authorization in BrowserTag	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106424 mittel	chromium-browser: Information leak in Audio	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026
CVE-2026-106420 mittel	chromium-browser: Incorrect calculation in API	seit spätestens 24. Okt. 2026Build 07:11 UTC	6. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.