Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert27. Okt. 2026, 19:17 UTC

29kritisch, letzte 7 Tage 411hoch, letzte 7 Tage 649mittel, letzte 7 Tage 145niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-115570 hoch	Electron: Mitigation for compromised eMudhra intermediate certificates	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-110975 hoch	autotune: kruize/autotune: kruize/autotune: Datasources credential disclosure	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-106069 hoch	nodejs: nodejs: TLS certificate hostname bypass via non-canonical IP hostnames	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-105482 hoch	nodejs: nodejs: dns.resolve truncates hostnames containing a NUL character	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57845 hoch	datasets: datasets: Arbitrary code execution via insecure pickle deserialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115478 hoch	obsidian-tc: Memory-lifecycle tools overwrite unowned notes or partially commit lifecycle changes	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-115477 hoch	obsidian-tc: Declined human-in-the-loop confirmations can permit destructive calls over HTTP	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57210 hoch	Heimdall: IP Spoofing via Unvalidated Forwarding Headers	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57209 hoch	Heimdall: Forwarded Header Injection via Unsanitized Host Header in Proxy Mode	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57146 hoch	PraisonAI A2U incomplete authentication fix leaves current serve command unauthenticated by default	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57144 hoch	PraisonAI SandlockSandbox falls back to unrestricted subprocess execution when Landlock is unavailable	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57142 hoch	PraisonAI recipe workflow policy can be bypassed by declaring and YAML-approving dangerous tools outside TEMPLATE.yaml	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57121 hoch	PraisonAI: Missing ownership check on DELETE endpoints allows members to delete others' content in Platform API	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57117 hoch	PraisonAI: Compute-bridged file tools allow shell command injection	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57114 hoch	PraisonAI: Jobs webhook SSRF protection bypass via DNS rebinding	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-57113 hoch	PraisonAI GitHub template cache path traversal allows outside-cache file write and directory deletion	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56840 hoch	PraisonAI: HTTPApproval dashboard renders tool arguments as raw HTML, allowing approval-page XSS to approve dangerous tools	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56838 hoch	PraisonAI recipe.run_stream skips dangerous-tool policy enforcement	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56837 hoch	PraisonAI LinearBot processes unsigned webhooks when LINEAR_WEBHOOK_SECRET is missing	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56836 hoch	PraisonAI recipe serve Typer command bypasses the non-localhost authentication guard	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56835 hoch	PraisonAI Slack app_mention bypasses configured user/channel authorization	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56834 hoch	PraisonAI dynamic-context artifact tools read arbitrary host files outside artifact storage	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56833 hoch	PraisonAI Dynamic Context history and terminal tools read files outside configured storage via path traversal	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-56832 hoch	PraisonAI DiscordApproval accepts unrelated channel messages as dangerous-tool approvals	seit spätestens 24. Okt. 2026Build 07:11 UTC	23. Okt. 2026
CVE-2026-114616 hoch	authlib: authlib: Authentication bypass via zero-length HMAC key	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114615 hoch	authlib: Authlib: Authentication bypass via improper asymmetric key validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115419 hoch	Strands Agents SDK: Exposure of data element to wrong session in the A2A Server	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115504 hoch	cfitsio: cfitsio: arbitrary code execution via crafted FITS file	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115374 hoch	github.com/lxc/incus: incus: Information disclosure via unsigned headers in presigned S3 URLs	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115372 hoch	github.com/lxc/incus: Incus 7.3.0 before 7.5.0 Project Restriction Bypass via block.create_options	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115355 hoch	mistune: mistune: Arbitrary file read via path traversal in Include directive	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115352 hoch	mistune: mistune: Denial of Service via unmatched brackets in inline link parser	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115349 hoch	mistune: mistune: Denial of Service via deeply nested square brackets	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115348 hoch	mistune: mistune: Denial of Service via unbalanced brackets in link parser	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-115347 hoch	mistune: mistune: Denial of Service via unmatched square brackets	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114613 hoch	msgpack: msgpack: Denial of Service via memory leak during map deserialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-75508 hoch	graphql-core: graphql-core: Denial of Service via token limit bypass using comments	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-75507 hoch	graphql-core: graphql-core: Denial of Service via nested inline fragments during query validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114605 hoch	dnspython: dnspython: Denial of Service via excessive DNS compression pointer traversal	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
GHSA-78g4-xqwv-q3g8 hoch	Pillow: Bundled libopenjp2 2.5.4 in all wheels since 11.1.0 carries OSV-2025-219 heap-buffer-overflow write reachable from Image.open().load()	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
GHSA-mrv2-3pqr-j5jr hoch	DOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-94482 hoch	next: Next.js: Denial of Service via crafted requests targeting Server Actions	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
GHSA-pxh4-856f-4h89 hoch	PyJWT: HS256/384/512 verify accepts empty HMAC key via oct JWK (PyJWK/PyJWKClient) enabling token forgery	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-113872 hoch	multer: multer: Denial of Service via aborted request during asynchronous file filtering	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-111181 hoch	body-parser: body-parser: Denial of Service via unhandled decompression stream error	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-92709 hoch	rsyslog: rsyslog: Path traversal via unsanitized dynaFile templates	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-111497 hoch	brotli: Out-of-Bounds Write in Google Brotli Decoder	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-111079 hoch	goose: goose: Shell History and Environment Leak via Terminal Integration	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-112085 hoch	webpack-dev-server: webpack-dev-server: unauthorized backend access via unvalidated WebSocket proxy requests	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026
CVE-2026-114730 hoch	roundcubemail: roundcubemail: Server-Side Request Forgery via address filter bypass	seit spätestens 24. Okt. 2026Build 07:11 UTC	22. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.