Security

betrifft: ≥18.0 <18.4

betrifft: <14.23; ≥15.0 <15.18; ≥16.0 <16.14; ≥17.0 <17.10; ≥18.0 <18.4

betrifft: <2026.5.3

betrifft: <2026.6.0

Eine Schwachstelle in Gitea ermöglicht es Angreifern, Nutzer nach der Anmeldung auf externe Webseiten umzuleiten, indem sie spezielle Zeichen im redirect_to-Parameter verwenden, was zu Phishing-Angriffen führen kann.

Eine Sicherheitslücke in Gitea ermöglicht es Benutzern mit nur Lesezugriff in einer Organisation, über die API Repositories zu erstellen, obwohl ihnen diese Berechtigung fehlt, und dadurch alle CI/CD-Geheimnisse der Organisation zu stehlen.

Gitea's 3D-Dateibetrachter hat eine Sicherheitslücke, die es Angreifern ermöglicht, schädlichen JavaScript-Code über manipulierte .gltf-Dateien einzuschleusen, der dann bei jedem Nutzer ausgeführt wird, der die Datei betrachtet.

Eine Schwachstelle in Gitea ermöglicht es Angreifern mit 'public-only' API-Tokens, auf private Benutzerdaten zuzugreifen und diese zu ändern, obwohl diese Tokens eigentlich nur öffentliche Informationen abrufen dürfen.

Eine SQL-Injection-Schwachstelle in der Koha-Bibliothekssoftware ermöglicht es authentifizierten Mitarbeitern mit Berichtszugriff, beliebige Daten aus der Anwendungsdatenbank zu lesen, einschließlich Passwort-Hashes und persönlicher Informationen.

Eine Schwachstelle im Grafana Operator ermöglicht es böswilligen Nutzern, durch das Erstellen spezieller Dashboard-Ressourcen den Kubernetes-Service-Account-Token des Operators zu stehlen und damit erweiterte Berechtigungen zu erlangen.

betrifft: <5.24.0

Eine Sicherheitslücke in der MariaDB-Datenbanksoftware ermöglicht es privilegierten Benutzern, über bestimmte Systemvariablen Befehle auf dem Server auszuführen. Dies kann zur vollständigen Kompromittierung des Datenbanksystems führen.

betrifft: ≥10.6.1 <10.6.27; ≥10.11.1 <10.11.18; ≥11.4.1 <11.4.12; ≥11.8.1 <11.8.8; =12.3.1

Eine Schwachstelle in MariaDB-Datenbankservern ermöglicht es böswilligen Knoten, beliebige Systembefehle auf anderen Servern auszuführen, wenn diese sich einem Datenbankcluster anschließen.

betrifft: ≥10.6.1 <10.6.27; ≥10.11.1 <10.11.18; ≥11.4.1 <11.4.12; ≥11.8.1 <11.8.8; =12.3.1

MariaDB-Datenbankserver prüfte in bestimmten Versionen nicht korrekt die Dateiberechtigungen, wodurch Benutzer ohne entsprechende Rechte Daten in Dateien exportieren konnten. Dies ermöglicht unbefugten Zugriff auf sensible Datenbankinhalte.

betrifft: ≥10.6.1 <10.6.26; ≥10.11.1 <10.11.17; ≥11.4.1 <11.4.11; ≥11.8.1 <11.8.7; =12.3.1

Eine Schwachstelle in MariaDB-Versionen 3.3.18 und 3.4.8 ermöglicht SQL-Injection-Angriffe trotz Verwendung der Sicherheitsfunktion mysql_real_escape_string() bei der big5-Zeichenkodierung.

betrifft: =3.3.18; =3.4.8

Eine Schwachstelle im MariaDB-Backup-Tool mbstream ermöglicht es Angreifern, durch speziell präparierte Archive Dateien außerhalb des vorgesehenen Zielordners zu erstellen, was zu unbefugtem Dateizugriff führen kann.

betrifft: ≥10.6.1 <10.6.26; ≥10.11.1 <10.11.17; ≥11.4.1 <11.4.11; ≥11.8.1 <11.8.7; =12.3.1

Eine Schwachstelle in MariaDB auf Windows-Systemen ermöglicht es Benutzern, Systembefehle auszuführen, wenn die CONNECT-Engine mit REST-Unterstützung aktiviert ist, da HTTP-Attribute unsicher verarbeitet werden.

betrifft: ≥10.6.1 <10.6.26; ≥10.11.1 <10.11.17; ≥11.4.1 <11.4.11; ≥11.8.1 <11.8.7; =12.3.1

In bestimmten MariaDB-Versionen können Benutzer mit Ausführungsrechten für gespeicherte Routinen deren Quellcode einsehen, obwohl ihnen die entsprechende Berechtigung fehlt.

betrifft: ≥11.4.1 <11.4.11; ≥11.8.1 <11.8.7; =12.3.1

Eine Sicherheitslücke in der MariaDB-Datenbanksoftware ermöglicht es böswilligen Clients, beliebige Systembefehle auf dem Server auszuführen, indem sie ungeprüfte Parameter während der Datensynchronisation senden.

betrifft: ≥10.6.1 <10.6.26; ≥10.11.1 <10.11.17; ≥11.4.1 <11.4.11; ≥11.8.1 <11.8.7; =12.3.1

OpenTofu, ein Infrastructure-as-Code-Tool, kann durch bösartige Server zu hoher CPU-Auslastung gebracht werden, was zu Denial-of-Service führt. Dies betrifft die Verarbeitung von HTTP-Antworten und TLS-Zertifikaten über Go-Bibliotheken.

Eine Sicherheitslücke in der E-Mail-Software mailcow ermöglicht es Angreifern, schädlichen Code in Administrator-Browsern auszuführen, indem sie E-Mails mit speziell benannten Anhängen versenden, wodurch Admin-Konten übernommen werden können.

Eine Sicherheitslücke in mailcow (einer E-Mail-Software) ermöglicht es Angreifern, schädlichen Code in Admin-Protokolle einzuschleusen, der ausgeführt wird, wenn Administratoren diese Logs betrachten.

Eine Schwachstelle im Netty-Framework ermöglicht es Angreifern, durch manipulierte Redis-Nachrichten mit falschen Array-Größenangaben übermäßig viel Arbeitsspeicher zu reservieren und so Denial-of-Service-Angriffe zu verursachen.

Eine Schwachstelle im Netty-Framework führt zu einem Speicherleck, wenn Redis-Pipeline-Verbindungen vorzeitig geschlossen werden. Dies kann durch wiederholte Verbindungsabbrüche den gesamten Speicherpool erschöpfen und alle Netzwerkkanäle zum Ausfall bringen.