Zum Inhalt springen
Stackwatch, zur Startseite

Lagebild

Was gerade brennt. Kritische Lücken der letzten 14 Tage.

Jeden Tag automatisch zusammengestellt: was die CISA als aktiv ausgenutzt führt und welche kritischen Advisories GitHub für Pakete veröffentlicht hat. Mit betroffenen und gefixten Versionen, soweit die Quelle sie nennt.

Automatisch übernommen aus CISA KEV und der GitHub Advisory Database, Stand 2026-10-25. Ungeprüft und im Originaltext (englisch). Maßgeblich ist immer die verlinkte Quelle. RSS-Feed dieser Seite

Unsere ausführlichen Analysen zu großen Lücken stehen im Blog →

Aktiv ausgenutzt (CISA KEV)

Lücken, die laut CISA bereits angegriffen werden. Hier zählt jede Stunde.

  • CVE-2026-110447Aktiv ausgenutztAufgenommen:

    Collabora Collabora Online – Built-in CODE Server

    Collabora Collabora Online – Built-in CODE Server when used within the NextCloud platform contains an OS command injection vulnerability that allows for remote code execution when the CODE server isn't running.

    Quelle →

  • CVE-2026-114625Aktiv ausgenutztAufgenommen:

    Arista VeloCloud Orchestrator

    Arista VeloCloud Orchestrator on-prem contains a SQL injection vulnerability that may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator.

    Quelle →

  • CVE-2026-106931Aktiv ausgenutztAufgenommen:

    EG Secure Solutions SiteGuard Server Edition

    EG Secure Solutions SiteGuard Server Edition contains an OS command injection vulnerability which may allow an attacker to execute arbitrary OS commands with root or SYSTEM privileges on the system running the affected product.

    Quelle →

  • CVE-2026-110936Aktiv ausgenutztAufgenommen:

    Siemens Software Center

    Siemens Software Center contains an uncontrolled search path element vulnerability that could allow an authenticated local attacker to place a specially crafted DLL in a directory that the application searches, leading to arbitrary code execution with the privileges of the affected application.

    Quelle →

  • CVE-2026-96652Aktiv ausgenutztAufgenommen:

    Plex Media Server

    Plex Media Server contains a server-side request forgery (SSRF) vulnerability which could allow an attacker using any X-Plex-Token value to include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination. This vulnerability can be chained with CVE-2026-96654, CVE-2026-96655, and CVE-2026-96656.

    Quelle →

  • CVE-2026-96654Aktiv ausgenutztAufgenommen:

    Plex Media Server

    Plex Media Server contains an improper neutralization of encoded URI schemes in a web page vulnerability that could allow an attacker to call other plugins' functions and supply their own parameters. This vulnerability can be chained with CVE-2026-96652, CVE-2026-96655, and CVE-2026-96656.

    Quelle →

  • CVE-2026-96655Aktiv ausgenutztAufgenommen:

    Plex Media Server

    Plex Media Server contains a server-side request forgery (SSRF) vulnerability that could allow an authenticated user to request arbitrary internal or external addresses via the '/video/:/transcode/universal' path parameter. This vulnerability can be chained with CVE-2026-96652, CVE-2026-96654, and CVE-2026-96656.

    Quelle →

  • CVE-2026-96656Aktiv ausgenutztAufgenommen:

    Plex Media Server

    Plex Media Server contains an external control of file name or path vulnerability which can allow an admin user to write arbitrary files that may be executed on load. This vulnerability can be chained with CVE-2026-96652, CVE-2026-96654, and CVE-2026-96655.

    Quelle →

  • CVE-2025-61624Aktiv ausgenutztAufgenommen:

    Fortinet Multiple Products

    FortiOS, FortiPAM, FortiProxy, and FortiSwitchManager contain a path traversal vulnerability that may allow an authenticated attacker with admin profile and at least read-write permissions to write or delete arbitrary files via specific CLI commands.

    Quelle →

  • CVE-2026-102764Aktiv ausgenutztAufgenommen:

    BeyondTrust Remote Support

    BeyondTrust Remote Support contains an authentication bypass by spoofing vulnerability that could allow a remote attacker to perform file operations on the appliance.

    Quelle →

  • CVE-2026-21589Aktiv ausgenutztAufgenommen:

    Atlassian Multiple Products

    Multiple Atlassian products (Bitbucket Data Center ,Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible and Fisheye) contain a files or directories accessible to external parties vulnerability which could allow an unauthenticated attacker to access specific files within the web application root directory in affected versions.

    Quelle →

  • CVE-2026-0322Aktiv ausgenutztAufgenommen:

    Palo Alto Networks PAN-OS

    Palo Alto Networks PAN-OS contains a code injection vulnerability that could allow an authenticated attacker with network access to execute arbitrary code with root privileges on the firewall.

    Quelle →

  • CVE-2026-105133Aktiv ausgenutztAufgenommen:

    Ahsay AhsayCBS

    Ahsay AhsayCBS contains an improper authentication vulnerability that could allow a remote attacker to bypass authentication via manipulation of the random parameter in the API component’s checkSysPwd function. This vulnerability can be chained with CVE-2026-105134.

    Quelle →

  • CVE-2026-105134Aktiv ausgenutztAufgenommen:

    Ahsay AhsayCBS

    Ahsay AhsayCBS contains a command injection vulnerability that could allow a remote attacker to execute operating system commands via manipulation of the random parameter in the Replication Receiver component’s /rps/api/json/UpdateReceivers.do endpoint. This vulnerability can be chained with CVE-2026-105133.

    Quelle →

  • CVE-2026-76519Aktiv ausgenutztAufgenommen:

    Cisco Secure Email Gateway

    Cisco Secure Email Gateway contains a relative path traversal vulnerability that could allow an unauthenticated, remote attacker to write arbitrary files on the underlying operating system.

    Quelle →

  • CVE-2026-104935Aktiv ausgenutztAufgenommen:

    Ivanti Connect Secure

    Ivanti Connect Secure contains an authentication bypass by spoofing vulnerability that allows a remote unauthenticated attacker to execute arbitrary commands.

    Quelle →

  • CVE-2026-96951Aktiv ausgenutztAufgenommen:

    Microsoft Windows

    Microsoft Windows Shell contains a command injection vulnerability that allows an unauthorized attacker to bypass a security feature over a network.

    Quelle →

Kritisch in Paketen (GitHub Advisory Database)

Kritische Advisories für npm, Composer, PyPI, Go, Maven, RubyGems, NuGet und Rust.

  • CVE-2026-112398 · GHSA-5x8w-8jj5-q52hVeröffentlicht:

    pillow

    Pillow: Heap buffer overflow in FlashPix (FPX) JPEG decoding leads to code execution

    • pip/pillow · Betroffen: <= 12.3.0 · Gefixt in: 13.0.0

    Quelle →

  • CVE-2026-114509 · GHSA-f9x3-7vq9-cph6Veröffentlicht:

    laravel/framework

    Laravel TokenGuard authentication bypass through non-string API credentials

    • composer/laravel/framework · Betroffen: >= 13.0.0, < 13.29.0 · Gefixt in: 13.29.0
    • composer/laravel/framework · Betroffen: < 12.68.0 · Gefixt in: 12.68.0

    Quelle →

  • CVE-2026-115889 · GHSA-897f-g5gm-fmxmVeröffentlicht:

    wasmtime

    Wasmtime: Bit-packing in Cranelift compiler causes silent overflow and miscompilation

    • rust/wasmtime · Betroffen: < 36.0.19 · Gefixt in: 36.0.19
    • rust/wasmtime · Betroffen: >= 37.0.0, < 43.0.0 · Gefixt in: 43.0.0

    Quelle →

  • CVE-2026-77363 · GHSA-pqh8-4pj7-32xxVeröffentlicht:

    obsidian-tc

    obsidian-tc HTTP transport lacks Origin/DNS-rebinding protection, enabling drive-by vault access on loopback

    • npm/obsidian-tc · Betroffen: < 1.3.1 · Gefixt in: 1.3.1

    Quelle →

  • CVE-2026-77366 · GHSA-84c9-qqpq-2pq5Veröffentlicht:

    obsidian-tc

    obsidian-tc tokens can access arbitrary configured vaults

    • npm/obsidian-tc · Betroffen: < 1.3.1 · Gefixt in: 1.3.1

    Quelle →

  • GHSA-cxf3-9h37-7rr8Veröffentlicht:

    github.com/labstack/echo/v4, github.com/labstack/echo/v5

    Echo: Rejected WebSocket upgrades can bypass Echo route-level access controls

    • go/github.com/labstack/echo/v4 · Betroffen: >= 4.0.0, < 4.16.1 · Gefixt in: 4.16.1
    • go/github.com/labstack/echo/v5 · Betroffen: >= 5.0.0, < 5.4.1 · Gefixt in: 5.4.1

    Quelle →

  • CVE-2026-114139 · GHSA-mchm-gjx6-7h55Veröffentlicht:

    @sentry/nextjs

    Sentry-Javascript: Middleware Bypass when using Tunnel route

    • npm/@sentry/nextjs · Betroffen: >= 9.36.0, < 9.47.2 · Gefixt in: 9.47.2
    • npm/@sentry/nextjs · Betroffen: >= 10.0.0-alpha.0, < 10.75.2 · Gefixt in: 10.75.2
    • npm/@sentry/nextjs · Betroffen: >= 11.0.0-alpha.0, < 11.0.0-rc.1 · Gefixt in: 11.0.0-rc.1

    Quelle →

  • CVE-2026-115324 · GHSA-7587-9684-52r6Veröffentlicht:

    mem0ai

    mem0ai Databricks vector store vulnerable to SQL injection

    • pip/mem0ai · Betroffen: >= 0.1.117, < 1.0.8 · Gefixt in: 1.0.8

    Quelle →

  • CVE-2026-96639 · GHSA-v9pv-5gc8-w2m6Veröffentlicht:

    Pillow

    Pillow multi-frame loaders can reuse stale native image storage after mode transitions

    • pip/Pillow · Betroffen: >= 11.0.0, < 13.0.0 · Gefixt in: 13.0.0

    Quelle →

  • GHSA-2464-fhr4-w9xwVeröffentlicht:

    next

    Next.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used

    • npm/next · Betroffen: >= 10.0.0, <= 15.5.27 · Gefixt in: 15.5.28
    • npm/next · Betroffen: >= 16.0.0, <= 16.4.0 · Gefixt in: 16.4.1

    Quelle →

  • GHSA-673q-mjm6-r5xrVeröffentlicht:

    next

    Next.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays

    • npm/next · Betroffen: >= 16.0.0, <= 16.4.0 · Gefixt in: 16.4.1

    Quelle →

  • GHSA-9v8h-qqgm-4m35Veröffentlicht:

    brotli, brotlicffi

    Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package

    • pip/brotli · Betroffen: >= 1.0.3, < 1.2.1 · Gefixt in: 1.2.1
    • pip/brotlicffi · Betroffen: >= 1.0.3, < 1.2.1.0 · Gefixt in: 1.2.1.0

    Quelle →Unser Artikel dazu →

  • GHSA-cg2g-xh64-v4q7Veröffentlicht:

    dompurify

    DOMPurify SAFE_FOR_TEMPLATES bypass: split template expressions survive in attached shadow root content on DOM output modes

    • npm/dompurify · Betroffen: >= 3.4.4, <= 3.4.16 · Gefixt in: 3.4.17

    Quelle →

  • CVE-2026-112393 · GHSA-332p-7hrc-92wfVeröffentlicht:

    Pillow

    Pillow: Heap buffer overflow in _tiffWriteProc when saving TIFF to BytesIO

    • pip/Pillow · Betroffen: >= 2.0.0, < 13.0.0 · Gefixt in: 13.0.0

    Quelle →

  • CVE-2026-112900 · GHSA-w889-685w-c8fhVeröffentlicht:

    Pillow

    Pillow: Argument Injection in Ghostscript call, potentially leading into RCE

    • pip/Pillow · Betroffen: >= 2.6.0, < 13.0.0 · Gefixt in: 13.0.0

    Quelle →

  • CVE-2026-114125 · GHSA-f2ph-cmg5-wxc8Veröffentlicht:

    storybook, @storybook/core und 4 weitere

    Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites

    • npm/storybook und 3 weitere · Betroffen: >= 8.0.0, < 8.6.19 · Gefixt in: 8.6.19
    • npm/storybook, @storybook/addon-vitest · Betroffen: >= 9.0.0, < 9.1.21 · Gefixt in: 9.1.21
    • npm/storybook, @storybook/addon-vitest · Betroffen: >= 10.0.0, < 10.6.2 · Gefixt in: 10.6.2
    • npm/storybook und 2 weitere · Betroffen: >= 11.0.0-alpha.0, < 11.0.0-alpha.6 · Gefixt in: 11.0.0-alpha.6
    • npm/@storybook/addon-mcp · Betroffen: >= 10.6.0, < 10.6.2 · Gefixt in: 10.6.2

    Quelle →

  • CVE-2026-112403 · GHSA-8g5g-8vmr-9782Veröffentlicht:

    Pillow

    Pillow: Heap buffer overflow in ImagingJpegDecode

    • pip/Pillow · Betroffen: <= 12.3.0 · Gefixt in: 13.0.0

    Quelle →

  • GHSA-6q48-6c7w-9gw2Veröffentlicht:

    certifi

    certifi bundles emSign root CAs with compromised intermediate CA keys

    • pip/certifi · Betroffen: >= 2019.03.09, < 2026.10.19 · Gefixt in: 2026.10.19

    Quelle →

  • GHSA-hq85-5cpj-mr62Veröffentlicht:

    uv

    uv's bundled CA store trusts an emSign root whose intermediate CA keys are compromised

    • pip/uv · Betroffen: < 0.13.4 · Gefixt in: 0.13.4

    Quelle →

  • CVE-2026-111057 · GHSA-f8c7-rwf9-fmgmVeröffentlicht:

    mercury

    Mercury: Unauthenticated Remote Code Execution in /api/terminals - access control bypass

    • pip/mercury · Betroffen: >= 3.0.0, <= 3.2.3 · Gefixt in: 3.2.4

    Quelle →

  • CVE-2026-111058 · GHSA-rv4m-xm3f-3ccqVeröffentlicht:

    mercury

    Mercury: Unauthenticated Remote Code Execution via /api/kernels

    • pip/mercury · Betroffen: <= 3.2.5 · Gefixt in: 3.2.6

    Quelle →

  • CVE-2026-105192 · GHSA-w5f2-9q9c-ff4hVeröffentlicht:

    lmcache

    LMCache: Remote code execution via unsafe deserialization in multiprocess mode transport

    • pip/lmcache · Betroffen: >= 0.3.9, < 0.5.6 · Gefixt in: 0.5.6

    Quelle →

  • CVE-2026-96620 · GHSA-h4mw-j7qp-8mwmVeröffentlicht:

    claude-agent-sdk

    Claude Agent SDK: Argument Injection via resume Option Allows Arbitrary Command Execution

    • pip/claude-agent-sdk · Betroffen: < 0.2.121 · Gefixt in: 0.2.121

    Quelle →

  • CVE-2026-102748 · GHSA-qj98-gp63-54xjVeröffentlicht:

    github.com/dgraph-io/dgraph/v25

    Dgraph: Zero Unauthenticated HTTP Admin removeNode Denial of Service

    • go/github.com/dgraph-io/dgraph/v25 · Betroffen: <= 25.3.8 · Gefixt in: 25.4.0

    Quelle →

  • CVE-2026-102989 · GHSA-qx66-fv34-fjm8Veröffentlicht:

    @tanstack/start-server-core, @tanstack/react-start und 2 weitere

    TanStack Router: Unauthenticated reflected XSS in TanStack Start server-function responses

    • npm/@tanstack/start-server-core · Betroffen: >= 1.143.12, < 1.169.39 · Gefixt in: 1.169.39
    • npm/@tanstack/react-start · Betroffen: >= 1.143.12, < 1.168.60 · Gefixt in: 1.168.60
    • npm/@tanstack/solid-start · Betroffen: >= 1.143.12, < 1.168.57 · Gefixt in: 1.168.57
    • npm/@tanstack/vue-start · Betroffen: >= 1.143.12, < 1.168.56 · Gefixt in: 1.168.56

    Quelle →

  • CVE-2026-104252 · GHSA-v75v-6fpf-gvw8Veröffentlicht:

    vitess.io/vitess

    Vitess vttablet /twopcz reflected XSS

    • go/vitess.io/vitess · Betroffen: < 0.23.5 · Gefixt in: 0.23.5
    • go/vitess.io/vitess · Betroffen: >= 0.24.0, < 0.24.2 · Gefixt in: 0.24.2

    Quelle →

  • CVE-2026-77459 · GHSA-fmxq-cgp8-87wpVeröffentlicht:

    github.com/argoproj/argo-cd/v2, github.com/argoproj/argo-cd/v3

    Argo CD: AppProject destination-namespace and resource restrictions bypassed by PreDelete/PostDelete resource hooks

    • go/github.com/argoproj/argo-cd/v2 · Betroffen: >= 2.10.0, <= 2.14.21 · Gefixt in: kein Fix angegeben
    • go/github.com/argoproj/argo-cd/v3 · Betroffen: >= 3.0.0, < 3.3.15 · Gefixt in: 3.3.15
    • go/github.com/argoproj/argo-cd/v3 · Betroffen: >= 3.4.0, < 3.4.10 · Gefixt in: 3.4.10
    • go/github.com/argoproj/argo-cd/v3 · Betroffen: >= 3.5.0, < 3.5.4 · Gefixt in: 3.5.4
    • go/github.com/argoproj/argo-cd/v3 · Betroffen: >= 3.6.0-rc1, < 3.6.0-rc2 · Gefixt in: 3.6.0-rc2

    Quelle →

  • CVE-2026-77524 · GHSA-637c-6jxx-4rwmVeröffentlicht:

    github.com/kedacore/keda, github.com/kedacore/keda/v2

    KEDA: Privilege escalation from namespace admin to cluster admin via KEDA TriggerAuthentication

    • go/github.com/kedacore/keda · Betroffen: <= 1.5.0 · Gefixt in: kein Fix angegeben
    • go/github.com/kedacore/keda/v2 · Betroffen: < 2.21.0 · Gefixt in: 2.21.0

    Quelle →

  • CVE-2026-94603 · GHSA-2cvf-wqm6-wr9gVeröffentlicht:

    github.com/containers/podman, go.podman.io/podman/v6

    Podman: The `podman run` command can be instructed to disable almost all sandboxing by image annotation

    • go/github.com/containers/podman · Betroffen: >= 4.4.0, < 5.8.8 · Gefixt in: 5.8.8
    • go/go.podman.io/podman/v6 · Betroffen: >= 6.0.0, < 6.1.3 · Gefixt in: 6.1.3

    Quelle →

  • CVE-2026-105016 · GHSA-5gjq-3f94-rcf7Veröffentlicht:

    Microsoft.Native.Quic.MsQuic.Schannel

    Microsoft Security Advisory CVE-2026-105016 - Microsoft QUIC Remote Code Execution Vulnerability

    • nuget/Microsoft.Native.Quic.MsQuic.Schannel · Betroffen: = 2.5.11-ci.156755675 · Gefixt in: 2.5.11-ci.159417053

    Quelle →

  • CVE-2026-70188 · GHSA-fpq8-4vhr-rcxxVeröffentlicht:

    Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64 und 9 weitere

    Microsoft Security Advisory CVE-2026-70188 - ASP.NET Core Security Feature Bypass Vulnerability

    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 11.0.0-preview.1, <= 11.0.0-rc.1 · Gefixt in: 11.0.0-rc.2
    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 8.0.0, <= 8.0.31 · Gefixt in: 8.0.32
    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 10.0.0, <= 10.0.12 · Gefixt in: 10.0.13
    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 9.0.0, <= 9.0.20 · Gefixt in: 9.0.21

    Quelle →

  • CVE-2026-88092 · GHSA-rv87-ccxw-8ggfVeröffentlicht:

    Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64 und 9 weitere

    Microsoft Security Advisory CVE-2026-88092 - ASP.NET Core Security Feature Bypass Vulnerability

    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 8.0.0, <= 8.0.31 · Gefixt in: 8.0.32
    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 10.0.0, <= 10.0.12 · Gefixt in: 10.0.13
    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 11.0.0-preview.1, <= 11.0.0-rc.1 · Gefixt in: 11.0.0-rc.2
    • nuget/Microsoft.AspNetCore.App.Runtime.linux-arm und 10 weitere · Betroffen: >= 9.0.0, <= 9.0.20 · Gefixt in: 9.0.21

    Quelle →