Schwachstellen verstehen. Anwendungen schützen.

Mittel 21.10.2026

CVE-2026-113730

OGNL: Umgehung der Blockliste für strengere Methodenaufrufe über java.lang.reflect Reflection-Proxys

In OGNL kann die sekundäre Blockliste im Modus für strengere Aufrufe über Reflection-Proxys umgangen werden. Betroffen sind nur Anwendungen, die nicht vertrauenswürdige Ausdrücke auswerten, freizügige Zugriffskontrollen nutzen und sich allein auf die Blockliste als Schutz verlassen.

Java / Kotlin (Maven)

ognl:ognl

Mittel 20.10.2026

CVE-2026-111763

A2A Java SDK sendet Client-Anmeldeinformationen unter servergesteuertem HTTP-Header-Namen und ermöglicht Offenlegung via Redirect

Eine Schwachstelle im A2A Java SDK ermöglicht es einem manipulierten Agenten, einen benutzerdefinierten HTTP-Header für Zugangsdaten vorzugeben. Bei HTTP-Weiterleitungen leitet der Client diese Header an externe Server weiter, wodurch API-Schlüssel des Clients offengelegt werden können.

Java / Kotlin (Maven)

org.a2aproject.sdk:a2a-java-sdk-parent

Kritisch 08.10.2026

CVE-2026-107726

Hazelcast allows arbitrary member memory access by low-privileged client

Java / Kotlin (Maven)

com.hazelcast:hazelcast

Hoch 08.10.2026

CVE-2026-107725

Hazelcast has an authorization bypass in IMap Predicates API

Java / Kotlin (Maven)

com.hazelcast:hazelcast

Hoch 07.10.2026

CVE-2026-106451

yawkat LZ4 Java: Native library extraction to a shared temporary directory is vulnerable to file replacement by another local user

Java / Kotlin (Maven)

at.yawk.lz4:lz4-java, org.lz4:lz4-java

Mittel 07.10.2026

CVE-2026-106123

RabbitMQ Java client: plaintext broker credentials leaked in exception message from ConnectionFactoryConfigurator.load()

Java / Kotlin (Maven)

com.rabbitmq:amqp-client

Hoch 01.10.2026

CVE-2026-89425

jackson-core: UTF8DataInputJsonParser._reportInvalidToken() missing maxErrorTokenLength limit -> unbounded StringBuilder growth (DoS)

Java / Kotlin (Maven)

com.fasterxml.jackson.core:jackson-core, tools.jackson.core:jackson-core

Hoch 01.10.2026

CVE-2026-89407

jackson-core: ReDoS: quadratic backtracking in NumberInput.PATTERN_FLOAT via looksLikeValidNumber()

Java / Kotlin (Maven)

com.fasterxml.jackson.core:jackson-core, tools.jackson.core:jackson-core

Mittel 28.09.2026

CVE-2026-19032

jackson-databind: Path Deserialization Missing Scheme Allowlist for FileSystemProvider Resolution

Java / Kotlin (Maven)

com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind

Mittel 23.09.2026

CVE-2026-77421

JLine: ReDoS in Nano Editor Regex Search Mode

Java / Kotlin (Maven)

org.jline:jline-builtins

Hoch 23.09.2026

CVE-2026-77422

JLine: ReDoS in Built-in grep Command Amplified by Automatic `.*` Wrapping

Java / Kotlin (Maven)

org.jline:jline-builtins

Mittel 23.09.2026

CVE-2026-77420

JLine: ReDoS via `HISTORY_IGNORE` Configuration Variable

Java / Kotlin (Maven)

org.jline:jline-reader

Kritisch 23.09.2026

CVE-2026-85724

Moquette: Pattern-ACL wildcard injection (cross-tenant authorization bypass) plus a remote-unauthenticated DoS cluster, a Will-message authorization bypass, and a cross-session durable-corruption bug

Java / Kotlin (Maven)

io.moquette:moquette-broker

Hoch 18.09.2026

CVE-2026-85058

io.moquette:moquette-broker has a Missing Authorization issue

Java / Kotlin (Maven)

io.moquette:moquette-broker

Hoch 18.09.2026

CVE-2026-77615

Opencast: Stored XSS in Paella player via WebVTT/DFXP caption cue text

Java / Kotlin (Maven) npm

org.opencastproject:opencast-engage-paella-player-7, paella-core

Hoch 17.09.2026

CVE-2026-85721

AsyncHttpClient's unbounded HTTP/1.1 response decompression enables a decompression-bomb denial of service

Java / Kotlin (Maven)

org.asynchttpclient:async-http-client

Niedrig 17.09.2026

CVE-2026-85716

AsyncHttpClient doesn't verify SCRAM and Digest mutual-authentication responses

Java / Kotlin (Maven)

org.asynchttpclient:async-http-client

Niedrig 17.09.2026

CVE-2026-86071

Junrar: LocalFolderExtractor mkdir escape allows directory creation outside extraction root

Java / Kotlin (Maven)

com.github.junrar:junrar

Hoch 17.09.2026

CVE-2026-63126

Wire: Unauthenticated decoder crash via 32-bit length integer overflow in ByteArrayProtoReader32 (incomplete fix of CVE-2026-45799)

Java / Kotlin (Maven)

com.squareup.wire:wire-runtime

Hoch 02.09.2026

CVE-2026-63490

Handlebars.java: Arbitrary file read in `SpringTemplateLoader` via URL-fragment suffix bypass

Java / Kotlin (Maven)

com.github.jknack:handlebars-springmvc

Mittel 28.08.2026

CVE-2026-55860

org.mariadb:r2dbc-mariadb vulnerable to cleartext password disclosure to a man-in-the-middle server (clear-text auth plugins not gated on a secure transport)

Java / Kotlin (Maven)

org.mariadb:r2dbc-mariadb

Mittel 28.08.2026

CVE-2026-55859

org.mariadb:r2dbc-mariadb has Inappropriate Encoding for Output Context and Improper Encoding or Escaping of Output

Java / Kotlin (Maven)

org.mariadb:r2dbc-mariadb

Hoch 28.08.2026

CVE-2026-55673

PowSyBl Core has Command Injection in LocalCommandExecutor-s

Java / Kotlin (Maven)

com.powsybl:powsybl-computation-local

Mittel 28.08.2026

CVE-2026-55548

Yamcs: Insecure Direct Object Reference (IDOR) in PacketsApi allows unprivileged users to dump all telemetry packets

Java / Kotlin (Maven)

org.yamcs:yamcs-core