IT SBIT Services
Schneeberger
DEEN
CVE-Tracker

Neue Schwachstellen – verständlich aufbereitet

Alle neu veröffentlichten Sicherheitslücken (CVE), laufend aus der NVD, mit aktiv ausgenutzten Lücken der CISA und der Ausnutzungswahrscheinlichkeit (EPSS) – jede einzeln recherchiert: Was ist betroffen, was hilft, was ist zu tun.

4heute veröffentlicht
3425in den letzten 7 Tagen
248davon kritisch
9neu aktiv ausgenutzt (7 Tage)

2 Schwachstellen · Hersteller: InternLM

CVE-2026-119706Kritisch 9.3

InternLM LMDeploy: Unauthentifizierte Remote Code Execution durch Pickle-Deserialisierung

Die Versionen 0.9.0 bis 0.18.0 von InternLM LMDeploy enthalten eine unsichere Deserialisierung im Endpunkt /update_weights des api_server. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen präparierten, base64-kodierten Pickle-Datensatz im Feld serialized_named_tensors senden, der ohne Validierung geladen wird und Betriebssystembefehle als Prozess api_server ausführt. Für den Angriff genügt Netzwerkzugriff auf den API-Server, da die Standardkonfiguration des api_server ohne Authentifizierung erreichbar ist.

InternLM · LMDeploy

CVE-2026-105135Kritisch 9.3

InternLM MindSearch: Code-Injection im Planner Agent

MindSearch 0.1.0 enthält eine Code-Injection-Schwachstelle im Planner Agent (ExecutionAction.run in mindsearch/agent/graph.py). Manipulierte Eingaben können dazu führen, dass Code auf dem Server ausgeführt wird, und der Angriff kann aus der Ferne gestartet werden. Laut der verlinkten Exploit-Beschreibung ist der Endpunkt POST /solve ohne Authentifizierung erreichbar, sodass ein Angreifer mit Netzwerkzugriff auf den Dienst Betriebssystembefehle mit den Rechten des Dienstprozesses ausführen könnte. Der Hersteller hat auf die frühzeitige Meldung nicht reagiert, und der Exploit wird als öffentlich bekannt gemeldet.

InternLM · MindSearch

Betroffen? Wir helfen.

Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.

Kontakt aufnehmenRSS-Feed

Daten: NVD (NIST), CISA KEV, FIRST EPSS – laufend aktualisiert.