CVE-Tracker

Neue Schwachstellen – verständlich aufbereitet

Alle neu veröffentlichten Sicherheitslücken (CVE), laufend aus der NVD, mit aktiv ausgenutzten Lücken der CISA und der Ausnutzungswahrscheinlichkeit (EPSS) – jede einzeln recherchiert: Was ist betroffen, was hilft, was ist zu tun.

50heute veröffentlicht

3450in den letzten 7 Tagen

250davon kritisch

9neu aktiv ausgenutzt (7 Tage)

1 Schwachstelle · Hersteller: AIDotNet

CVE-2026-119597Kritisch 9.330.10.2026 15:16

AIDotNet OpenDeepWiki: Hart codierter JWT-Signaturschlüssel erlaubt Admin-Token-Fälschung

OpenDeepWiki bis Version 2.0.6 verwendet einen JWT-Signaturschlüssel, der fest in appsettings.json (Jwt:SecretKey) hinterlegt und im Quellcode öffentlich einsehbar ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann damit HS256-Token mit einer Admin-Rolle signieren und die Endpunkte unter /api/admin verwenden. Dadurch sind Benutzer, Rollen, Repositories, Einstellungen und gespeicherte API-Schlüssel kontrollierbar. Voraussetzung ist nur der Netzwerkzugriff auf die Instanz und die Kenntnis des öffentlichen Schlüssels.

AIDotNet · OpenDeepWiki

Betroffen? Wir helfen.

Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.

Kontakt aufnehmen RSS-Feed

Daten: NVD (NIST), CISA KEV, FIRST EPSS – laufend aktualisiert.