Schwachstellen verstehen. Anwendungen schützen.

Hoch 19.10.2026

CVE-2026-108372

Durchlässige CORS-Richtlinie in LoopX serve-status legt Zustand der Control-Plane und private Markdown-Dateien offen

Die serve-status-Funktion in LoopX nutzt eine zu durchlässige CORS-Richtlinie mit Wildcard-Headern auf unauthentifizierten Loopback-Leseendpunkten. Bösartige Websites können dadurch ohne Benutzerinteraktion den Zustand der Control-Plane sowie private Markdown-Dateien aus registrierten Repositories auslesen.

Python (PyPI)

loopx

Mittel 15.10.2026

CVE-2026-102682

Pipecat: Öffentliche Erreichbarkeit des Development-Runners kann unauthentifizierte Bot-Sitzungserstellung ermöglichen

Wenn der Development-Runner von Pipecat für nicht vertrauenswürdige Netzwerke freigegeben wird, können unbefugte Dritte Bot-Sitzungen und kostenpflichtige Daily-Räume erstellen. Dies kann lokale Ressourcen erschöpfen und Quotas bei Drittanbietern verbrauchen.

Python (PyPI)

pipecat-ai

Mittel 09.10.2026

ghsa-9q47-3cm2-2rp8

pyLoad: Rate-Limit Bypass and Audit-Log Spoofing via Trusted Client-Controlled `X-Forwarded-For` Header

Python (PyPI)

pyload-ng

Mittel 05.10.2026

CVE-2026-102598

Werkzeug safe_join() allows Windows special device names

Python (PyPI)

werkzeug

Mittel 31.07.2026

CVE-2026-54707

OnionShare Receive mode writes uploaded files even when file uploads are disabled

Python (PyPI)

onionshare-cli

Hoch 17.07.2026

CVE-2026-54567

Flask-Reuploaded: Extension-denylist bypass via case-folding asymmetry in name-override path (incomplete-fix variant of CVE-2026-27641)

Python (PyPI)

flask-reuploaded

Hoch 23.06.2026

CVE-2026-54134

OctoPrint has possible file exfiltration via query parameters on upload endpoints

Python (PyPI)

octoprint

Niedrig 15.06.2026

CVE-2026-53540

python-multipart: Negative Content-Length in parse_form buffers the entire body in memory

Python (PyPI)

python-multipart

Hoch 27.05.2026

CVE-2026-48544

Taipy contains a path traversal vulnerability

Python (PyPI)

taipy

Mittel 08.01.2026

CVE-2026-21860

Werkzeug safe_join() allows Windows special device names with compound extensions

Python (PyPI)

werkzeug

Mittel 02.12.2025

CVE-2025-66221

Werkzeug safe_join() allows Windows special device names

Python (PyPI)

werkzeug

Mittel 25.10.2024

CVE-2024-49767

Werkzeug possible resource exhaustion when parsing file data in forms

Python (PyPI)

quart, werkzeug

Mittel 25.10.2024

CVE-2024-49766

Werkzeug safe_join not safe on Windows

Python (PyPI)

werkzeug

Hoch 06.05.2024

CVE-2024-34069

Werkzeug debugger vulnerable to remote execution when interacting with attacker controlled domain

Python (PyPI)

werkzeug

Mittel 07.10.2022

CVE-2021-23385

Flask-Security vulnerable to Open Redirect

Python (PyPI)

flask-security

Hoch 24.05.2022

CVE-2019-14322

Pallets Werkzeug vulnerable to Path Traversal

Python (PyPI)

werkzeug

Kritisch 09.05.2024

CVE-2024-32874

Malicious Long Unicode filenames may cause a Multiple Application-level Denial of Service

Python (PyPI)

frigate

Kritisch 18.11.2025

CVE-2025-65015

joserfc has Possible Uncontrolled Resource Consumption Vulnerability Triggered by Logging Arbitrarily Large JWT Token Payloads

Python (PyPI)

joserfc

Mittel 23.06.2026

ghsa-w2j7-f3c6-g8cw

Flask-Security has an Open Redirect issue

Python (PyPI)

flask-security

Mittel 16.04.2026

CVE-2026-40594

pyLoad has a Session Cookie Security Downgrade via Untrusted X-Forwarded-Proto Header Spoofing (Global State Race Condition)

Python (PyPI)

pyload-ng

Hoch 27.03.2026

CVE-2026-33981

Changedetection.io Discloses Environment Variables via jq env Builtin in Include Filters

Python (PyPI)

changedetection-io

Kritisch 25.02.2026

CVE-2026-27641

Flask-Reuploaded vulnerable to Remote Code Execution via Server-Side Template Injection

Python (PyPI)

flask-reuploaded

Mittel 19.02.2026

CVE-2026-27199

Werkzeug safe_join() allows Windows special device names

Python (PyPI)

werkzeug

Kritisch 29.01.2026

CVE-2026-40035

Unfurl's debug mode cannot be disabled due to string config parsing (Werkzeug debugger exposure)

Python (PyPI)

dfir-unfurl