Beiträge mit dem Stichwort: ‘ci-cd̵
JFrog Artifactory Authentication Bypass ausgenutzt
Ein JFrog Artifactory Authentication Bypass wird derzeit aktiv ausgenutzt: Angreifer erzeugen sich selbst unautorisierte Administrator-Tokens auf selbst gehosteten Artifactory-Instanzen — nur wenige Tage nach der Offenlegung durch JFrog. Die als CVE-2026-82329 (CVSS 9,8) geführte Schwachstelle steckt in der Standardkonfiguration von Artifactory — keine Fehlkonfiguration nötig, keine Zugangsdaten erforderlich. Was ist passiert JFrog hat den JFrog…
WeiterlesenGitLab GraphQL-Code-Injection-Schwachstelle
Eine GitLab GraphQL-Code-Injection-Schwachstelle wird bereits aktiv ausgenutzt — reproduziert und angegriffen innerhalb von Minuten nach GitLabs Offenlegung von CVE-2026-19478 am 17. August 2026. Die unauthentifizierte Lücke (CVSS 9.4) erlaubt es Angreifern, öffentliche Projekte auf jeder ungepatchten selbst gehosteten GitLab-Instanz zu löschen, gefälschte Fix-Datensätze zu erzeugen oder Maintainer auszusperren. GitLab.com und GitLab Dedicated liefen bereits vor…
WeiterlesenTeamCity CVE-2026-63077 RCE: Ungesicherte CI/CD-Übernahme
TeamCity CVE-2026-63077 RCE erlaubt einem unauthentifizierten Angreifer, mit einer einzigen präparierten Anfrage Befehle auf einem TeamCity-On-Premises-Server auszuführen — ohne Login, ohne gültige Session, ohne Nutzerinteraktion. Die CISA nahm die Lücke am 5. August mit einer Drei-Tage-Frist in den KEV-Katalog auf; die aktive Ausnutzung läuft. Was ist passiert TeamCity CVE-2026-63077 RCE geht auf eine Deserialisierungs-Schwachstelle (CWE-502)…
WeiterlesenGitLab Oj Spill RCE Exploit ist öffentlich
Die GitLab Oj Spill RCE ist jetzt öffentlich: Am 24. Juli wurden ein funktionierender Exploit-Chain und ein vollständiger technischer Bericht für eine Remote-Code-Execution-Lücke veröffentlicht, die GitLab bereits sechs Wochen zuvor, am 10. Juni, still gepatcht hatte. Läuft Ihre selbstgehostete GitLab-Instanz noch auf 18.10.7 oder älter, kann jeder Entwickler mit Commit-Rechten jetzt Befehle als Benutzer git…
WeiterlesenAsyncAPI npm Supply Chain Attack: Kein Token gestohlen
Der AsyncAPI npm supply chain attack zeigt, dass keine der beiden Kontrollen half, denen Teams eigentlich vertrauen sollten — kryptografische Provenance und das Blockieren von Install-Skripten: Ein Angreifer veröffentlichte vier trojanisierte Pakete mit gültigen SLSA-/OIDC-Provenance-Attestierungen, ohne jemals ein npm-Token zu stehlen, und die Payload läuft unabhängig von –ignore-scripts. Was ist passiert Am 14. Juli, zwischen…
Weiterlesen