Mittel
CVE-2026-113721
Schwachstellenarchiv
Schwachstellen verstehen. Anwendungen schützen.
Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Schwachstellenarchiv 245
Filter zurücksetzen
Mittel
CVE-2026-114603
OpenTelemetry Python: Unbounded tracestate parsing in opentelemetry-api
Mittel
CVE-2026-113724
virtualenv: Deletion recovery can change a symlink target's mode
Mittel
CVE-2026-112899
Pillow: EPS load(scale) lets Ghostscript render past the decompression bomb limit
Mittel
CVE-2026-111059
Mercury: Stored / DOM Cross-Site Scripting (XSS): mr.Markdown renders untrusted content as raw, unsanitized HTML
Mittel
CVE-2026-112394
Pillow: P;2L- und P;4L-Decoder können 1 bis 3 Bytes über die Puffergröße hinaus lesen
Eine Out-of-bounds-Read-Schwachstelle in Pillow ermöglicht es bestimmten Decodern, Heap-Speicher jenseits der Puffergrenzen zu lesen. Dies kann dazu führen, dass benachbarte Speicherdaten in decodierte Pixelwerte einfließen oder die Anwendung abstürzt.
Hoch
CVE-2026-112392
Pillow: NULL-Zeiger-Dereferenzierung in ImagingExpand über Rangfilter bei Bildern mit der Größe Null
In Pillow führt das Anwenden von Rang-, Median-, Minimum- oder Maximumfiltern auf Bilder mit einer Breite oder Höhe von null zu einer NULL-Zeiger-Dereferenzierung. Angreifer können dies für Denial-of-Service-Angriffe ausnutzen.
Hoch
CVE-2026-112390
Pillow: Endlosschleife in MIC n_frames bei eingebettetem TIFF
Eine Schwachstelle in Pillow ermöglicht es präparierten Microsoft Image Composer (MIC)-Dateien mit eingebetteten TIFF-Streams, beim Abfragen der Frame-Anzahl eine Endlosschleife und 100 % CPU-Last auszulösen, was zu einem Denial of Service führt.
Hoch
CVE-2026-112400
Pillow: GIF seek behält verworfene Größe nach DecompressionBombError bei und ermöglicht DoS
Ein Fehler in Pillow ermöglicht es einer manipulierten GIF-Datei, eine übermäßige Speicherbelegung auszulösen, wenn eine Anwendung Dekomprimierungsfehler beim Frame-Wechsel abfängt und dasselbe Bildobjekt weiterverwendet. Dies kann zur Erschöpfung des Speichers und zu Denial-of-Service führen.
Mittel
CVE-2026-102832
JupyterLab: Sicherheitsabfrage für Befehlslinks kann ein anderes als das angeklickte Dokument als vertrauenswürdig einstufen
In JupyterLab kann die Bestätigung zur Dokumenten-Vertrauenswürdigkeit fälschlicherweise das aktuell aktive statt des angeklickten Dokuments als vertrauenswürdig markieren. Dies ermöglicht die künftige Ausführung von Befehlen ohne Sicherheitsabfrage in einer anderen Datei.
Mittel
CVE-2026-107841
pacioli: Submit-Consent-Marker autorisierte die Stornierung von durch Aufrufer benannten bestehenden Dokumenten
Eine Autorisierungsumgehung im dokumentenbezogenen Consent-Gate von pacioli ermöglicht es verschachtelten Aktionen, vom Aufrufer angegebene Dokumente ohne menschliche Freigabe oder Audit-Eintrag zu stornieren.
Mittel
ghsa-9q47-3cm2-2rp8
pyLoad: Rate-Limit Bypass and Audit-Log Spoofing via Trusted Client-Controlled `X-Forwarded-For` Header
Hoch
ghsa-889w-m37p-88m5
pyLoad: Api.set_user_permission never invalidates the target's session
Mittel
ghsa-p3pr-8f3m-4qp8
pyLoad WindowsPhoneNotify addon: non-admin SETTINGS user triggers SSRF via unguarded http.client notification host
Mittel
CVE-2026-75597
pyLoad: Unauthenticated access to /web/<path:filename> bypasses authentication on sensitive templates and leaks internal error details via exception attribute typo
Hoch
CVE-2026-107728
Strawberry GraphQL: Synchronous permission checks can treat an awaitable authorization result as truthy
Hoch
CVE-2026-61435
PraisonAI: Call API localhost-only authentication bypass via spoofed Host header
Mittel
CVE-2026-61431
PraisonAI: ContextGatherer include resolution permits absolute and traversal reads outside the workspace
Mittel
CVE-2026-46438
wger: Cross-User Data Corruption via Missing Ownership Check on WorkoutLog.slot_entry
Mittel
CVE-2026-45161
wger: trainer_login accepts GET - CSRF bypass enables forced session rebinding
Hoch
CVE-2026-43976
wger: cross-tenant admin notes/contracts leak via gym=None bypass (5 views)
Mittel
ghsa-j8f7-x8jm-wmm4
Langflow: SSRF in URL-taking components (protection disabled by default / warn-only, not applied to RSS, SearXNG, Web Search, Home Assistant, Glean, Docling)
Niedrig
CVE-2026-105752
vLLM: Harmony tool continuations drop `cache_salt` — restoring a cross-tenant prefix-cache membership oracle
Mittel
CVE-2026-96747
PyMongo: PYTHON-5990 Forced Unix domain socket connection via a .sock KMS endpoint in client-side field level encryption
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.