Mittel
CVE-2026-114131
Schwachstellenarchiv
Schwachstellen verstehen. Anwendungen schützen.
Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Schwachstellenarchiv 921
Filter zurücksetzen
Niedrig
ghsa-c6gr-qvv4-5v3f
DOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
Mittel
CVE-2026-112958
ApostropheCMS: Gespeichertes XSS über nicht maskierte Serialisierung von Widget-Stilattributen
In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.
Mittel
CVE-2026-112951
ApostropheCMS: Umgehung der Farbfeld-Validierung ermöglicht Stored XSS über nach rgb()/hsl()-Präfix angehängtes HTML
Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.
Niedrig
CVE-2026-112945
Vite: Herkunftsübergreifende Skriptausführung über benutzerdefinierte Vite-Middleware
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
Niedrig
CVE-2026-111766
markdown-it: Denial-of-Service mit quadratischer Laufzeit beim Parsen von Inline-HTML mit aktiviertem HTML
In markdown-it kann bei aktiviertem HTML das Parsen nicht abgeschlossener Konstrukte quadratische Laufzeit verursachen. Dies kann die Event-Loop von Node.js blockieren und zu einem Denial of Service führen.
Mittel
CVE-2026-113664
ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test
In ApostropheCMS import-export ermöglicht eine unzureichende Prüfung von Tar-Dateipfaden authentifizierten Benutzern, den Node-Prozess über ein manipuliertes Archiv zum Absturz zu bringen.
Mittel
CVE-2026-113659
ApostropheCMS: Clientseitige Prototype Pollution in apos.http.parseQuery führt zu DOM-basiertem XSS gegen authentifizierte Benutzer
Eine clientseitige Prototype-Pollution-Schwachstelle in ApostropheCMS ermöglicht es Angreifern, beliebigen JavaScript-Code in der Sitzung authentifizierter Benutzer auszuführen, wenn das Opfer einen manipulierten Link aufruft. Dies kann zur Kompromittierung des Kontos und der CMS-Instanz führen.
Mittel
CVE-2026-113710
ApostropheCMS: Fehlende Ratenbegrenzung bei der Passwortänderung ermöglicht unbegrenztes Erraten des aktuellen Passworts
Da ApostropheCMS die Anzahl der Versuche am Endpunkt zur Passwortänderung nicht begrenzt, können Angreifer mit einer gültigen Sitzung das aktuelle Passwort ohne Sperren oder Verzögerungen erraten und das Konto übernehmen.
Mittel
CVE-2026-113671
ApostropheCMS: Host-Header steuert Ursprung serverseitiger Bildabrufe in @apostrophecms/ai-helper (SSRF)
In @apostrophecms/ai-helper kann ein authentifizierter Editor über einen manipulierten Host-Header den Zielursprung serverseitiger Bildabrufe manipulieren und SSRF-Anfragen an interne Hosts und Ports auslösen.
Mittel
CVE-2026-113656
ApostropheCMS: Nicht authentifizierter unbegrenzter Multipart-Upload führt zu DoS durch Festplattenüberlauf
Nicht authentifizierte Angreifer können über Formulare in ApostropheCMS unbegrenzte Datenmengen auf die Festplatte übertragen, was zur Erschöpfung des Speicherplatzes und zu Denial-of-Service führen kann.
Mittel
CVE-2026-113654
ApostropheCMS sanitize-html: nonTextTags-Verwerfungsbereich endet vorzeitig bei implizitem Schließen, wodurch <noscript>-Inhalte gerendert werden
In sanitize-html vor Version 2.18.0 führt ein implizites Schließen innerhalb von Elementen wie <noscript> dazu, dass der Verwerfungsbereich vorzeitig endet und unerwünschte Inhalte als HTML gerendert werden.
Hoch
CVE-2026-111752
@angular/router: Denial of Service durch fehlerhaftes Routen-Matching von Empty-Path-Outlets beim Server-Side-Rendering (SSR)
Eine Denial-of-Service-Schwachstelle im Angular Router betrifft Server-Side Rendering (SSR) unter Node.js. Nicht authentifizierte Angreifer können speziell gestaltete URLs mit leeren Outlet-Pfaden senden, um Speicher oder CPU-Ressourcen zu erschöpfen und Worker-Abstürze herbeizuführen.
Mittel
CVE-2026-111754
@angular/platform-server: Open Redirect über protokollrelative URLs im Server-Side Rendering (SSR)
Eine Open-Redirect-Schwachstelle in Angular Platform-Server ermöglicht es Angreifern, Server-Side-Rendering-Anfragen mit manipulierten Dot-Segmenten zu versehen, um Benutzer auf externe Domains umzuleiten.
Kritisch
CVE-2026-102989
TanStack Router: Nicht authentifiziertes reflektiertes XSS in Server-Funktionsantworten von TanStack Start
In TanStack Start können unauthentifizierte Angreifer über manipulierte URLs schädliches JavaScript im Kontext der Anwendung ausführen lassen, wenn ein Benutzer den Link aufruft. Ein Update auf die behobenen Paketversionen wird dringend empfohlen.
Hoch
CVE-2026-108259
Tina: Code-Injection über ungesicherten Git-Branch-Namen im generierten Client-Quellcode
Eine Schwachstelle in TinaCMS CLI ermöglicht die Ausführung von beliebigem JavaScript-Code während des Build-Prozesses, da Git-Branch-Namen unmaskiert in generierten Client-Code eingefügt werden.
Kritisch
CVE-2026-108261
TinaCMS: Admin-Vorschau-iFrame lädt angreifergesteuerte Herkunft aus dem URL-Fragment
In TinaCMS lädt das Admin-Vorschau-iFrame eine vom Angreifer kontrollierte Herkunft aus dem URL-Fragment. Wenn ein angemeldeter Redakteur einen präparierten Link öffnet, können nicht authentifizierte Remote-Angreifer über die Content-API beliebige Lese- und Schreiboperationen mit dessen Rechten ausführen.
Hoch
CVE-2026-108260
@tinacms/web-components: `tina-markdown` schreibt Rich-Text-Link-URLs ohne Schema-Validierung nach `href`, was Stored XSS ermöglicht
In @tinacms/web-components führt eine fehlende Validierung des URL-Schemas in Rich-Text-Links zu Stored Cross-Site Scripting, wodurch manipulierte Links JavaScript im Kontext der Website ausführen können.
Mittel
CVE-2026-107719
fast-jwt: Verifier cache accepts expired JWTs without iat.
Hoch
CVE-2026-107720
fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set
Kritisch
CVE-2026-107722
fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion
Mittel
CVE-2026-107721
fast-jwt clockTolerance: Infinity silently bypasses both exp and nbf validation (and persists in the verifier cache)
Hoch
CVE-2026-107723
fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array
Mittel
CVE-2026-107391
music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.