Mittel
CVE-2026-112944
Schwachstellenarchiv
Schwachstellen verstehen. Anwendungen schützen.
Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Schwachstellenarchiv 129
Filter zurücksetzen
Mittel
CVE-2026-112950
Vitest: Windows-Backslash-Traversal umgeht Fix der Redirect-Allowlist in @vitest/mocker
Eine Path-Traversal-Schwachstelle unter Windows ermöglicht es Clients, die Zugriff auf einen Vite-Server haben, die Redirect-Zulassungsliste mithilfe von Backslashes zu umgehen. Dadurch können Dateien außerhalb des Vite-Stammverzeichnisses gelesen werden, auf die der Serverprozess Zugriff hat.
Mittel
CVE-2026-62197
OpenClaw: Browser-CDP-Erkennung akzeptiert möglicherweise blockierte WebSocket-URLs
In OpenClaw kann die Browser-CDP-Erkennung blockierte WebSocket-URLs akzeptieren. Dadurch können Aufrufer mit geringerem Vertrauen Netzwerkziele erreichen, die gemäß Richtlinie blockiert sein sollten.
Kritisch
CVE-2026-114125
Storybook: Fehlende Origin-Validierung in Storybook-Preview ermöglicht Code-Injektion über bösartige Websites
Eine fehlende Origin-Validierung in der Storybook-Preview erlaubt es bösartigen Websites, nicht autorisierte Dateiänderungen auf einem Entwicklungsserver vorzunehmen. Unter bestimmten Bedingungen kann dies bei Benutzerinteraktion zur Ausführung von beliebigem Code auf dem Entwicklerrechner führen.
Niedrig
CVE-2026-112945
Vite: Herkunftsübergreifende Skriptausführung über benutzerdefinierte Vite-Middleware
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
Mittel
CVE-2026-112947
Vite: Erste 4 Bytes von Dateien außerhalb der Einstellung `server.fs` werden durch `?vite-wasm-instance` offengelegt
In Vite-Entwicklungsservern unter Node.js oder Deno können speziell gestaltete Anfragen über Fehlermeldungen des WebAssembly-Parsers die ersten Bytes beliebiger Dateien außerhalb der konfigurierten Zugriffsgrenzen offenlegen.
Mittel
CVE-2026-112946
Vite: Dateien außerhalb von `server.fs.allow` könnten ausgeliefert werden, wenn Projektpfade Systempfaden auf Nicht-Windows-Systemen entsprechen
Unter Vite auf Nicht-Windows-Systemen können Dateien außerhalb des Projekt-Roots ausgeliefert werden, wenn importierte Pfade absoluten Systempfaden entsprechen und der Entwicklungsserver im Netzwerk freigegeben ist. Ein Update auf eine behobene Version behebt das Problem.
Mittel
CVE-2026-111753
@angular/common: XSRF-Token-Offenlegung durch URL-Parsing-Diskrepanz im Angular HTTP-Client (Unvollständiger Fix für CVE-2025-66035)
Eine Diskrepanz beim URL-Parsing im Angular-HTTP-Client kann dazu führen, dass XSRF-Tokens bei zustandsverändernden Anfragen an externe Domänen übertragen werden. Angreifer können die abgefangenen Tokens nutzen, um unberechtigte Aktionen in der Sitzung des Opfers auszuführen.
Hoch
CVE-2026-112942
launch-editor: Überprüfung der Existenz von `fs.existsSync()` kann unter Windows umgangen werden
Eine Schwachstelle in launch-editor ermöglicht es Angreifern unter Windows, Prüfungen auf Dateiexistenz mittels einer manipulierten Pfadangabe zu umgehen. Dies kann in Kombination mit Escaping-Problemen zu OS-Befehlsinjektionen führen, wenn Dateipfade kontrolliert werden.
Mittel
CVE-2026-112943
launch-editor: escapeCmdArgs() unterlässt %-Escaping unter Windows
Unter Windows maskiert launch-editor Umgebungsvariablenzeichen nicht ausreichend. Unter bestimmten Voraussetzungen kann dies bei manipulierten Dateinamen oder Variablen zur Befehlsausführung führen.
Mittel
CVE-2026-113653
ApostropheCMS: Öffentlicher Zugriff auf @apostrophecms/user-Objekte über Beziehungen möglich
In ApostropheCMS wird viewRole nicht auf die Öffentlichkeit angewendet. Dadurch können Benutzerobjekte über Beziehungsfelder offengelegt werden, falls Vorlagen Daten unzureichend filtern.
Hoch
CVE-2026-104416
Ghost: Invite Token Disclosure in Ghost Admin API
Hoch
CVE-2026-106105
Quasar Framework: Development TLS private keys are cached with overly permissive filesystem permissions
Hoch
CVE-2026-106106
Quasar Framework: SSR/SSG dev error page discloses the full shell environment and its </script> escape is bypassable
Hoch
CVE-2026-106107
Quasar Framework: App Vite SSR and SSG nonce attributes are not safely constrained
Mittel
CVE-2026-106108
Quasar Framework: App Vite SSG page output paths can escape the configured distribution directory
Mittel
CVE-2026-106109
Quasar Framework: App Vite build cleanup can recursively remove unsafe configured output directories
Hoch
CVE-2026-106104
Quasar Framework: Super-linear regex backtracking on User-Agent lets one request stall a Quasar SSR server
Kritisch
CVE-2026-106102
Quasar Framework: Stored/Reflected XSS via unescaped SSR meta tag rendering in getHead()
Kritisch
CVE-2026-102829
simple-git: `VISUAL` editor environment variable is omitted from unsafe editor detection
Kritisch
CVE-2026-104848
Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
Hoch
CVE-2026-114081
Trigger.dev: Cross-tenant SQL injection in the TSQL query compiler (POST /api/v1/query) via unsanitized window-function name
Hoch
ghsa-456v-xq2p-r4cj
code-ollama: `grep_search` Command Injection via Unescaped `$()` Shell Substitution (CWE-78)
Mittel
CVE-2026-84992
md-editor-v3: XSS via fenced-code language rendering bypass
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.