IT SBIT Services
Schneeberger
DEEN
CVE-Tracker

Neue Schwachstellen – verständlich aufbereitet

Alle neu veröffentlichten Sicherheitslücken (CVE), laufend aus der NVD, mit aktiv ausgenutzten Lücken der CISA, der Ausnutzungswahrscheinlichkeit (EPSS) und öffentlichen Exploits – jede einzeln recherchiert: Was ist betroffen, was hilft, was ist zu tun.

130heute veröffentlicht
3'446in den letzten 7 Tagen
16'404in den letzten 30 Tagen
264kritisch (7 Tage)
9neu aktiv ausgenutzt (7 Tage)
301mit öffentlichem Exploit (30 Tage)

Neue CVE der letzten 30 Tage nach Schweregrad

  • Kritisch
  • Hoch
  • Mittel
  • Niedrig
  • Nicht bewertet
01'0002'0003'000So, 04.10.2026: 68 CVE (Kritisch 13, Hoch 16, Mittel 28, Niedrig 11)04.10.Mo, 05.10.2026: 405 CVE (Kritisch 31, Hoch 119, Mittel 210, Niedrig 45)Di, 06.10.2026: 1'014 CVE (Kritisch 105, Hoch 371, Mittel 345, Niedrig 38, Nicht bewertet 155)Mi, 07.10.2026: 340 CVE (Kritisch 53, Hoch 131, Mittel 145, Niedrig 9, Nicht bewertet 2)Do, 08.10.2026: 497 CVE (Kritisch 62, Hoch 194, Mittel 220, Niedrig 21)Fr, 09.10.2026: 315 CVE (Kritisch 42, Hoch 152, Mittel 105, Niedrig 11, Nicht bewertet 5)09.10.Sa, 10.10.2026: 412 CVE (Kritisch 78, Hoch 143, Mittel 178, Niedrig 13)So, 11.10.2026: 229 CVE (Kritisch 16, Hoch 73, Mittel 101, Niedrig 39)Mo, 12.10.2026: 674 CVE (Kritisch 48, Hoch 264, Mittel 282, Niedrig 80)Di, 13.10.2026: 2'303 CVE (Kritisch 170, Hoch 1'361, Mittel 729, Niedrig 43)Mi, 14.10.2026: 824 CVE (Kritisch 92, Hoch 374, Mittel 285, Niedrig 30, Nicht bewertet 43)14.10.Do, 15.10.2026: 546 CVE (Kritisch 51, Hoch 232, Mittel 244, Niedrig 19)Fr, 16.10.2026: 465 CVE (Kritisch 53, Hoch 179, Mittel 219, Niedrig 14)Sa, 17.10.2026: 100 CVE (Kritisch 4, Hoch 42, Mittel 50, Niedrig 4)So, 18.10.2026: 549 CVE (Kritisch 10, Hoch 55, Mittel 65, Niedrig 19, Nicht bewertet 400)Mo, 19.10.2026: 437 CVE (Kritisch 29, Hoch 128, Mittel 204, Niedrig 66, Nicht bewertet 10)19.10.Di, 20.10.2026: 1'923 CVE (Kritisch 169, Hoch 813, Mittel 812, Niedrig 127, Nicht bewertet 2)Mi, 21.10.2026: 542 CVE (Kritisch 50, Hoch 218, Mittel 225, Niedrig 47, Nicht bewertet 2)Do, 22.10.2026: 492 CVE (Kritisch 69, Hoch 160, Mittel 206, Niedrig 55, Nicht bewertet 2)Fr, 23.10.2026: 492 CVE (Kritisch 40, Hoch 169, Mittel 90, Niedrig 27, Nicht bewertet 166)Sa, 24.10.2026: 73 CVE (Kritisch 12, Hoch 19, Mittel 35, Niedrig 6, Nicht bewertet 1)24.10.So, 25.10.2026: 131 CVE (Kritisch 3, Hoch 31, Mittel 66, Niedrig 26, Nicht bewertet 5)Mo, 26.10.2026: 738 CVE (Kritisch 21, Hoch 130, Mittel 245, Niedrig 55, Nicht bewertet 287)Di, 27.10.2026: 648 CVE (Kritisch 69, Hoch 188, Mittel 177, Niedrig 33, Nicht bewertet 181)Mi, 28.10.2026: 626 CVE (Kritisch 35, Hoch 215, Mittel 209, Niedrig 31, Nicht bewertet 136)Do, 29.10.2026: 537 CVE (Kritisch 66, Hoch 191, Mittel 218, Niedrig 22, Nicht bewertet 40)29.10.Fr, 30.10.2026: 669 CVE (Kritisch 44, Hoch 216, Mittel 259, Niedrig 30, Nicht bewertet 120)Sa, 31.10.2026: 112 CVE (Kritisch 11, Hoch 44, Mittel 51, Niedrig 1, Nicht bewertet 5)So, 01.11.2026: 98 CVE (Kritisch 8, Hoch 24, Mittel 27, Niedrig 15, Nicht bewertet 24)Mo, 02.11.2026: 130 CVE (Kritisch 10, Hoch 14, Mittel 37, Niedrig 13, Nicht bewertet 56)02.11.

Je Tag (UTC); fahren Sie über einen Balken für die Zahlen.

Als Tabelle anzeigen
TagKritischHochMittelNiedrigNicht bewertetTotal
Mo, 02.11.20261014371356130
So, 01.11.202682427152498
Sa, 31.10.202611445115112
Fr, 30.10.20264421625930120669
Do, 29.10.2026661912182240537
Mi, 28.10.20263521520931136626
Di, 27.10.20266918817733181648
Mo, 26.10.20262113024555287738
So, 25.10.202633166265131
Sa, 24.10.20261219356173
Fr, 23.10.2026401699027166492
Do, 22.10.202669160206552492
Mi, 21.10.202650218225472542
Di, 20.10.202616981381212721'923
Mo, 19.10.2026291282046610437
So, 18.10.202610556519400549
Sa, 17.10.20264425040100
Fr, 16.10.202653179219140465
Do, 15.10.202651232244190546
Mi, 14.10.2026923742853043824
Di, 13.10.20261701'3617294302'303
Mo, 12.10.202648264282800674
So, 11.10.20261673101390229
Sa, 10.10.202678143178130412
Fr, 09.10.202642152105115315
Do, 08.10.202662194220210497
Mi, 07.10.20265313114592340
Di, 06.10.2026105371345381551'014
Mo, 05.10.202631119210450405
So, 04.10.202613162811068

3'446 Schwachstellen

CVE-2026-5700Mittel 4.8

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-5699Mittel 4.8

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-5698Mittel 4.8

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-5697Mittel 4.8

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-27401Mittel 5.3

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-119028Hoch 8.7

oapi-codegen: Code-Injection über nicht-literale Enum-Werte in OpenAPI-Spezifikationen

oapi-codegen in den Versionen 2.0.0 bis 2.8.0 erlaubt Code-Injection über nicht-literale Enum-Einträge in Integer-, Number- oder Boolean-Schemas eines OpenAPI-Dokuments. Ein Angreifer, der das OpenAPI-Dokument kontrolliert, kann einen Enum-Eintrag so gestalten, dass der const-Block im Code-Template geschlossen und eine Funktion func init() eingefügt wird. Der eingeschleuste Code wird ausgeführt, wenn das generierte Paket gebaut und importiert wird, typischerweise auf Entwicklerrechnern oder in CI-Runnern. Die NVD-Bewertung (CVSS 4.0 8.7) setzt voraus, dass ein Benutzer das manipulierte Dokument verarbeiten muss (UI:P).

oapi-codegen · oapi-codegen

CVE-2026-119027Hoch 7.7

oapi-codegen: Code-Injection über manipulierten servers[].x-go-name-Wert

oapi-codegen, ein Go-Werkzeug zur Erzeugung von Go-Code aus OpenAPI-Spezifikationen, maskiert den Wert servers[].x-go-name im Template server-urls nicht. Ein Angreifer, der ein OpenAPI-Dokument kontrolliert, kann Go-Code einschleusen, einschliesslich einer func init()-Funktion, die beim Bauen oder Importieren des generierten Pakets ausgeführt wird. Voraussetzung ist, dass ein Entwickler oder eine CI/CD-Pipeline Code aus dem manipulierten Dokument generiert.

oapi-codegen · oapi-codegen

CVE-2026-119025Hoch 7.7Exploit öffentlichEPSS 1.4 %

npm-Paket open: OS-Command-Injection über PowerShell unter Windows

Das npm-Paket open (Versionen 7.2.0 bis vor 11.0.0) kann unter Windows und WSL PowerShell-Code ausführen, wenn manipulierte URLs verarbeitet werden. Angreifer können $(...)-Teilausdrücke in URLs einbetten, zum Beispiel in OAuth-authorization_endpoint-Werten von bösartigen MCP-Servern, die ausgeführt werden, wenn das Paket sie ungeschützt an PowerShell übergibt. Für einen Angriff muss ein Benutzer eine solche URL öffnen oder verarbeiten, etwa durch die Verbindung zu einem bösartigen MCP-Server.

sindresorhus · open

CVE-2026-115821Hoch 7.2

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-110184Hoch 7.5

Newsmatic WordPress-Theme: Unauthentifizierte Blind SQL-Injection über den slug-Parameter

Das Newsmatic-Theme für WordPress maskiert den Parameter 'slug' nicht ausreichend und verwendet keine vorbereiteten SQL-Anweisungen. Ein nicht angemeldeter Angreifer kann über das Netzwerk SQL-Abfragen an bestehende Datenbankabfragen anhängen. Damit lassen sich sensible Informationen aus der Datenbank extrahieren, etwa Benutzerkonten und Passwort-Hashes, auf jeder öffentlich erreichbaren Website mit dem betroffenen Theme.

blazethemes · Newsmatic

CVE-2026-109822Hoch 7.1

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-109216Mittel 4.9

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-103665Hoch 8.4

Yamaha LAN Monitor for Windows: Unsicheres DLL-Laden im Installationsprogramm

Das Installationsprogramm von Yamaha LAN Monitor for Windows bis Version 1.9.3 lädt Dynamic Link Libraries aus einem unsicheren Suchpfad. Wird das Installationsprogramm aus einem Verzeichnis mit einer speziell präparierten DLL gestartet, wird diese geladen und Code wird mit administrativen Rechten ausgeführt. Der Angreifer muss die Datei lokal platzieren und der Benutzer muss das Installationsprogramm ausführen; betroffen ist nur die Installation, nicht bereits installierte Versionen.

Yamaha Corporation · Yamaha LAN Monitor for Windows

CVE-2026-71569Mittel 4.8Exploit öffentlich

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-33924Hoch 7.5EPSS 1.1 %

Guardian/CMC: OS-Command-Injection in der Update-Funktion

Zwei OS-Command-Injection-Schwachstellen in der Update-Installationsfunktion von Nozomi Networks Guardian und CMC erlauben die Ausführung beliebiger Befehle mit Root-Rechten. Ursache ist eine unzureichende Validierung der Inhalte von Update-Paketen. Ein Angreifer benötigt administrative Berechtigungen und muss ein manipuliertes Update-Paket installieren lassen, beispielsweise über die Web-Management-Oberfläche. Erfolgreich ausgenutzt können sensitive Daten gelesen oder verändert, die Gerätekonfiguration geändert oder das Gerät heruntergefahren werden.

Nozomi Networks · Guardian and CMC

CVE-2026-33923Hoch 7.5

Nozomi Guardian/CMC: Umgehung der Signaturprüfung bei Update-Bundles

Nozomi Networks Guardian und Central Management Console (CMC) vor Version 26.4.0 enthalten einen Fehler bei der Validierung von Update-Bundles. Ein Angreifer mit administrativen Berechtigungen kann ein manipuliertes Update-Bundle bereitstellen, das die Signaturprüfung besteht, aber bei der Installation ein unsigniertes Skript mit Root-Rechten ausführt. Damit können sensible Daten gelesen oder verändert, die Konfiguration des Geräts geändert oder das Gerät heruntergefahren werden.

Nozomi Networks · Guardian/CMC

CVE-2026-118989Mittel 5.1

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-118984Hoch 7.0

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-116409Hoch 7.1

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-115967Hoch 8.8

WordPress Login with phone number: Fehlerhafte Authentifizierung

Das WordPress-Plugin Login with phone number bis einschliesslich Version 1.8.78 enthält eine fehlerhafte Authentifizierung (CWE-1390, CVSS 8.8 laut CNA). Laut Patchstack kann ein Angreifer das Login umgehen oder sich ohne Passwort als andere Benutzer anmelden. Patchstack nennt als erforderliche Berechtigung Subscriber, daher ist möglicherweise ein Konto mit niedrigen Rechten nötig, die genaue Voraussetzung ist jedoch nicht bestätigt.

Hamid Alinia · Login with phone number

CVE-2026-115965Hoch 8.5Exploit öffentlich

BuddyPress-Plugin: Blind SQL-Injection

Das WordPress-Plugin BuddyPress enthält eine Blind SQL-Injection-Schwachstelle (CWE-89) in den Versionen bis und mit 14.5.2. Ein Angreifer mit einem Konto mit niedrigen Rechten kann SQL-Befehle einschleusen und Datenbankinhalte auslesen, darunter Benutzerkonten und private Daten, wobei dies langsam ist und viele Anfragen erfordert. Patchstack stuft das Problem als hohe Priorität mit einem CVSS-Wert von 8.5 ein, VulDB gibt 6.3 an; die Analyse durch die NVD steht noch aus.

WordPress BuddyPress · BuddyPress

CVE-2026-115964Kritisch 9.3

Motors-WordPress-Plugin: Blind SQL-Injection

Das WordPress-Plugin Motors - Car Dealership & Classified Listings bis und mit Version 1.4.126 enthält eine Blind SQL-Injection-Schwachstelle (CWE-89). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch manipulierte Anfragen Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Patchstack stuft das Problem mit einem CVSS-Wert von 9.3 als hohe Priorität ein.

StylemixThemes · Motors

CVE-2026-115963Hoch 7.1

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-115962Mittel 4.3

Recherche und Übersetzung laufen – in Kürze hier.

CVE-2026-115942Nicht bewertet

Recherche und Übersetzung laufen – in Kürze hier.

Quellen

Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:

Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.

Betroffen? Wir helfen.

Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.

Kontakt aufnehmenRSS-Feed