Mittel
CVE-2026-112954
Schwachstellenarchiv
Schwachstellen verstehen. Anwendungen schützen.
Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Schwachstellenarchiv 7.481
Filter zurücksetzen
Mittel
CVE-2026-113650
ApostropheCMS sanitize-html: unbounded recursion when re-sanitizing the fallback of a discarded iframe (stack overflow, nestingLimit not enforced)
Mittel
CVE-2026-112944
launch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
Mittel
CVE-2026-113661
ApostropheCMS: Incomplete CVE-2026-53606: `meta http-equiv=refresh` `content` still ships `javascript:` / `data:` URLs
Niedrig
CVE-2026-113651
ApostropheCMS: Path traversal in uploadfs
Mittel
CVE-2026-113655
ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization
Mittel
CVE-2026-104150
AdonisJS HTTP Server: Uncontrolled Resource Consumption and Inefficient Regular Expression Complexity
Mittel
CVE-2026-112950
Vitest: Windows-Backslash-Traversal umgeht Fix der Redirect-Allowlist in @vitest/mocker
Eine Path-Traversal-Schwachstelle unter Windows ermöglicht es Clients, die Zugriff auf einen Vite-Server haben, die Redirect-Zulassungsliste mithilfe von Backslashes zu umgehen. Dadurch können Dateien außerhalb des Vite-Stammverzeichnisses gelesen werden, auf die der Serverprozess Zugriff hat.
Mittel
CVE-2026-62197
OpenClaw: Browser-CDP-Erkennung akzeptiert möglicherweise blockierte WebSocket-URLs
In OpenClaw kann die Browser-CDP-Erkennung blockierte WebSocket-URLs akzeptieren. Dadurch können Aufrufer mit geringerem Vertrauen Netzwerkziele erreichen, die gemäß Richtlinie blockiert sein sollten.
Kritisch
CVE-2026-114125
Storybook: Fehlende Origin-Validierung in Storybook-Preview ermöglicht Code-Injektion über bösartige Websites
Eine fehlende Origin-Validierung in der Storybook-Preview erlaubt es bösartigen Websites, nicht autorisierte Dateiänderungen auf einem Entwicklungsserver vorzunehmen. Unter bestimmten Bedingungen kann dies bei Benutzerinteraktion zur Ausführung von beliebigem Code auf dem Entwicklerrechner führen.
Mittel
CVE-2026-113800
Electron: HID- und USB-Berechtigungsprüfungen können dem falschen Ursprung zugeordnet werden
Ein Problem in Electron führt dazu, dass HID- und USB-Berechtigungsprüfungen aus Iframes dem übergeordneten Frame zugeordnet werden. Dadurch können eingebettete Frames fälschlicherweise Geräteberechtigungen erhalten, die für die Hauptseite bestimmt waren.
Mittel
CVE-2026-112957
ApostropheCMS: GET /api/v1/@apostrophecms/page/:id umgeht viewRole-Beschränkung und legt viewPermission-geschützte Felder offen
In ApostropheCMS vor Version 4.34.0 umgeht ein REST-Endpunkt Zugriffsbeschränkungen auf Seitenebene und Feldebene, sodass Benutzer mit Editor-Rechten sensible Inhalte und Felder einsehen können.
Niedrig
CVE-2026-113648
ApostropheCMS: Fehlende Authentifizierung in der Route `cleanExport`
Eine fehlende Authentifizierungsprüfung in ApostropheCMS ermöglicht es nicht authentifizierten Benutzern mit einem standardmäßigen CSRF-Cookie, Bereinigungsoperationen auszulösen, temporäre Exportdateien zu löschen und Auftragsdatensätze in der Datenbank zu ändern.
Mittel
CVE-2026-112952
ApostropheCMS: Offenlegung privater und administrativer Inhalte über den Endpunkt doc/slugTaken
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, über den Endpunkt doc/slugTaken Slugs im gesamten System aufzuzählen und so die Existenz privater, entwurfsbasierter und administrativer Inhalte offenzulegen.
Mittel
CVE-2026-112958
ApostropheCMS: Gespeichertes XSS über nicht maskierte Serialisierung von Widget-Stilattributen
In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.
Mittel
CVE-2026-112951
ApostropheCMS: Umgehung der Farbfeld-Validierung ermöglicht Stored XSS über nach rgb()/hsl()-Präfix angehängtes HTML
Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.
Mittel
CVE-2026-113649
ApostropheCMS: Import-API umgeht Veröffentlichungsrollen für geschützte Inhalte
In ApostropheCMS umgeht die Import-API Veröffentlichungsrollen für geschützte Inhalte. Redakteure ohne Veröffentlichungsrechte können dadurch veröffentlichte Inhalte unbefugt anlegen, ersetzen oder löschen.
Mittel
CVE-2026-112955
ApostropheCMS: Import-Archive können Serverspeicher erschöpfen und Denial-of-Service verursachen
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, durch fehlende Kontingente und mangelhafte Fehlerbereinigung den Serverspeicher beim Entpacken von Archiven zu erschöpfen und DoS auszulösen.
Mittel
CVE-2026-112956
ApostropheCMS: Fortsetzung bei Archiv-Duplikaten erlaubt Mitwirkenden das Überschreiben veröffentlichter Inhalte
In @apostrophecms/import-export akzeptiert die Fortsetzung overrideDuplicates vom Client übergebene Ersetzungsoptionen, wodurch Mitwirkende veröffentlichte Inhalte ohne Veröffentlichungsrechte überschreiben können.
Niedrig
CVE-2026-112945
Vite: Herkunftsübergreifende Skriptausführung über benutzerdefinierte Vite-Middleware
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
Mittel
CVE-2026-112947
Vite: Erste 4 Bytes von Dateien außerhalb der Einstellung `server.fs` werden durch `?vite-wasm-instance` offengelegt
In Vite-Entwicklungsservern unter Node.js oder Deno können speziell gestaltete Anfragen über Fehlermeldungen des WebAssembly-Parsers die ersten Bytes beliebiger Dateien außerhalb der konfigurierten Zugriffsgrenzen offenlegen.
Mittel
CVE-2026-112946
Vite: Dateien außerhalb von `server.fs.allow` könnten ausgeliefert werden, wenn Projektpfade Systempfaden auf Nicht-Windows-Systemen entsprechen
Unter Vite auf Nicht-Windows-Systemen können Dateien außerhalb des Projekt-Roots ausgeliefert werden, wenn importierte Pfade absoluten Systempfaden entsprechen und der Entwicklungsserver im Netzwerk freigegeben ist. Ein Update auf eine behobene Version behebt das Problem.
Hoch
CVE-2026-113711
ApostropheCMS: Nicht authentifizierte Ressourcenerschöpfung über pre-auth aposBigUpload-Verarbeitung in @apostrophecms/import-export
Eine Schwachstelle bezüglich nicht authentifizierter Ressourcenerschöpfung in ApostropheCMS ermöglicht es Angreifern, chunked Upload- und Bereinigungsprozesse ohne Authentifizierung auszulösen und so Denial-of-Service-Zustände herbeizuführen.
Hoch
CVE-2026-111758
markdown-it: Quadratische Rendering-Zeit einer einzelnen mehrzeiligen Link-Referenzdefinition bei Standardoptionen (Regression seit 14.0)
Eine Denial-of-Service-Schwachstelle in markdown-it ermöglicht es Angreifern, die Node.js-Ereignisschleife durch speziell gestaltete mehrzeilige Link-Referenzdefinitionen zu blockieren. Nicht geschlossene Definitionen führen in Standardkonfigurationen zu quadratischer Ausführungszeit.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.