Schwachstellen

Kritische Schwachstellen, die das Gate schon kennt.

Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Das sind die Einträge, die die Database diese Woche als kritisch eingestuft hat, und wann. Nicht, wann die Nachricht kam: wann das Gate es wusste.

Database zuletzt aktualisiert27. Okt. 2026, 19:17 UTC

29kritisch, letzte 7 Tage 411hoch, letzte 7 Tage 649mittel, letzte 7 Tage 145niedrig, letzte 7 Tage

ID	Schwachstelle	Eingestuft seit	Veröffentlicht
CVE-2026-101781 hoch	mysql: mysql: Server takeover via Group Replication GCS	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101775 hoch	mysql: mysql: unauthorized data modification via replication component	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101773 hoch	mysql: MySQL: Denial of Service via the Group Replication plugin	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101772 hoch	mysql: mysql: unauthorized server takeover	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101771 hoch	mysql: mysql: complete service takeover via network access	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101770 hoch	mysql: mysql: System takeover via client programs	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101679 hoch	mysql: mysql: Denial of Service via multiple protocols	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-111758 hoch	markdown-it: markdown-it: Denial of Service via unclosed link reference definitions	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113869 hoch	thunderbird: thunderbird: Use-after-free via S/MIME decryption password prompt	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113725 hoch	virtualenv: virtualenv: arbitrary code execution via crafted environment name	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113723 hoch	virtualenv: virtualenv: Arbitrary code execution via malicious prompt text	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113722 hoch	virtualenv: virtualenv: arbitrary code execution via improperly quoted interpreter paths in script launchers	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113709 hoch	github.com/argoproj/argo-cd/v3: github.com/argoproj/argo-cd/v2: argo-cd: argocd: A Kustomize Helm config home can run commands in the repo-server	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113708 hoch	github.com/argoproj/argo-cd/v3: github.com/argoproj/argo-cd/v2: argo-cd: A Kustomize remote ref can run commands in the repo-server	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-111767 hoch	@modelcontextprotocol/sdk: @modelcontextprotocol/sdk: Unauthorized cross-session task access via taskStore	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113711 hoch	ApostropheCMS: Unauthenticated resource exhaustion via pre-auth aposBigUpload processing in @apostrophecms/import-export	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113672 hoch	argo-cd: github.com/argoproj/argo-cd/v3: github.com/argoproj/argo-cd/v2: argo-cd: A Jsonnet import can read files from the repo-server	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113666 hoch	ApostropheCMS: Authenticated projection-exclusion prototype-member deletion in @apostrophecms/db-connect causes process-wide denial of service	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-111756 hoch	follow-redirects: follow-redirects: Information disclosure via array-formatted headers during cross-origin redirects	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113658 hoch	ApostropheCMS: Unauthenticated CSV import requests leave rejected uploads in the system temporary directory	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-111765 hoch	A2A Java SDK: Android synchronous POST forwards credentials across authorities after incomplete redirect fix	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-111764 hoch	A2A Java SDK has a fail-open default task authorization	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-95168 hoch	thefuck: thefuck: Arbitrary code execution via insecure rule loading	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112943 hoch	launch-editor: launch-editor: Arbitrary code execution via improper argument escaping on Windows	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112942 hoch	launch-editor: launch-editor: Command injection via improper file path validation	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-101296 hoch	tomcat: tomcat: Authentication bypass via non-GSSAPI SASL in JNDI realm	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-105941 hoch	kroxylicious-kms-provider-azure-key-vault-kms: Streams for Apache Kafka Kroxylicious: Azure Key Vault SSRF exfiltrates bearer token via untrusted EDEK vaultName	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-105949 hoch	cruise-control: Streams for Apache Kafka Cruise Control: authentication bypass via extra path segment allows unauthenticated access to all admin endpoints	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-105312 hoch	console-operator: Streams for Apache Kafka Console: tenant-controlled container image on ClusterRole-bound pod enables namespace-to-cluster privilege escalation	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-105311 hoch	console-operator: Streams for Apache Kafka Console: cross-namespace KafkaUser Secret exfiltration via confused deputy	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-113356 hoch	dokuwiki: dokuwiki: Arbitrary code execution via insecure draft deserialization	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-112177 hoch	ghostscript: Reintroduction of .charkeys -dSAFER bypass in RHEL 8	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-86922 hoch	webkitgtk: WebKitGTK: Arbitrary code execution via type confusion	seit spätestens 24. Okt. 2026Build 07:11 UTC	20. Okt. 2026
CVE-2026-53995 hoch	mlflow: mlflow: Arbitrary file write via FileStore path traversal	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112896 hoch	pillow: Pillow: Denial of Service via out-of-bounds read in TIFF encoder	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112895 hoch	pillow: pillow: Denial of service via crafted PDF during append operations	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112894 hoch	pillow: pillow: Denial of Service via crafted multi-frame image conversion	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112893 hoch	pillow: Pillow: Denial of Service via invalid pointer free during font rendering	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112892 hoch	pillow: pillow: Denial of Service via unbounded memory expansion in MSP image decoder	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112406 hoch	pillow: pillow: Denial of Service via infinite loop during PDF page rewriting	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112405 hoch	pillow: Pillow: Denial of Service via null pointer dereference in Image.merge()	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112404 hoch	pillow: Pillow: Denial of Service via out-of-bounds read in TIFF decoding	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112402 hoch	pillow: pillow: Denial of service via double free during image transformation	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112400 hoch	pillow: pillow: Denial of Service via memory exhaustion from crafted GIF image	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112399 hoch	pillow: pillow: Denial of service via crafted APNG image	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112397 hoch	pillow: pillow: Denial of Service via out-of-bounds memory access on zero-width images	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112392 hoch	pillow: pillow: Denial of Service via zero-size images in rank filters	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112261 hoch	gimp: gimp: use-after-free in XCF loader via PROP_SELECTED_PATH	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112257 hoch	gimp: gimp: heap out-of-bounds read/write in PSD thumbnail loader (load_resource_1033)	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026
CVE-2026-112391 hoch	pillow: Pillow: Denial of Service via unbounded recursion in PDF parser	seit spätestens 24. Okt. 2026Build 07:11 UTC	19. Okt. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.