Sichere ProgrammierungFaster Prediction Is Only Half the Loop. Faster Understanding Is the Other Half.(09.11.2026 um 06:58 Uhr)

•

Sichere Programmierungn8n vs Zapier vs Make: What 1,000 AI Runs Would Cost (2026)(09.11.2026 um 06:58 Uhr)

•

Sichere ProgrammierungMicrosoft AZ-900: The Azure Fundamentals Exam That Rewards People Who Understand the Cloud, Not People Who Memorized It(09.11.2026 um 06:58 Uhr)

•

Sichere ProgrammierungHow to make an AI coding agent keep fixing until npm test passes(09.11.2026 um 06:59 Uhr)

•

Sichere ProgrammierungAI/ML Research Digest — Nov 07, 2026(09.11.2026 um 07:00 Uhr)

•

Sichere ProgrammierungInformation‑gain design trims training compute(09.11.2026 um 07:00 Uhr)

•

Sichere ProgrammierungBuild Buddy, Day 2: two AI fixes compiled, only one was correct(09.11.2026 um 07:00 Uhr)

•

AI & KI NachrichtenZero-Gas Autonomous Agents: Account Abstraction on Base L2(09.11.2026 um 07:00 Uhr)

•

Sichere ProgrammierungVoice Robot for Outbound Calls: A Latency Budget from ASR to TTS(09.11.2026 um 07:01 Uhr)

•

Sichere ProgrammierungWebUSB, WebHID, and Web Serial need an origin-level device policy(09.11.2026 um 07:01 Uhr)

•

Sichere ProgrammierungFaster Prediction Is Only Half the Loop. Faster Understanding Is the Other Half.(09.11.2026 um 06:58 Uhr)

•

Sichere Programmierungn8n vs Zapier vs Make: What 1,000 AI Runs Would Cost (2026)(09.11.2026 um 06:58 Uhr)

•

Sichere ProgrammierungMicrosoft AZ-900: The Azure Fundamentals Exam That Rewards People Who Understand the Cloud, Not People Who Memorized It(09.11.2026 um 06:58 Uhr)

•

Sichere ProgrammierungHow to make an AI coding agent keep fixing until npm test passes(09.11.2026 um 06:59 Uhr)

•

Sichere ProgrammierungAI/ML Research Digest — Nov 07, 2026(09.11.2026 um 07:00 Uhr)

•

Sichere ProgrammierungInformation‑gain design trims training compute(09.11.2026 um 07:00 Uhr)

•

Sichere ProgrammierungBuild Buddy, Day 2: two AI fixes compiled, only one was correct(09.11.2026 um 07:00 Uhr)

•

AI & KI NachrichtenZero-Gas Autonomous Agents: Account Abstraction on Base L2(09.11.2026 um 07:00 Uhr)

•

Sichere ProgrammierungVoice Robot for Outbound Calls: A Latency Budget from ASR to TTS(09.11.2026 um 07:01 Uhr)

•

Sichere ProgrammierungWebUSB, WebHID, and Web Serial need an origin-level device policy(09.11.2026 um 07:01 Uhr)

•

🎯 CVE-2026-110180 🧪 PoC 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2026-110180 | fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions from 2.4.2 through 2.4.7, from 3.1.3 through 3.1.8, and from 4.0.1 through 4.2.2, for HTTP-family schemes the canonicalizeHost() function passes the parsed host to the WHATWG URL parser and adopts its hostname without checking that the parser consumed the entire input as a host, so the authority can be silently rewritten: data before an at-sign is dropped and tab, carri

fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions from 2.4.2 through 2.4.7, from 3.1.3 through 3.1.8, and from 4.0.1 through 4.2.2, for HTTP-family schemes the canonicalizeHost() function passes the parsed host to the WHATWG URL parser and adopts its hostname without checking that the parser consumed the entire input as a host, so the authority can be silently rewritten: data before an at-sign is dropped and tab, carriage-return, and line-feed characters are stripped, with no error reported. An application that enforces host-based policy such as denylists, loopback filtering, redirect validation, or outbound proxy routing on one representation can then see the canonical host diverge from what it checked, allowing traffic to be steered to an unintended destination. The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of these versions or later. As a workaround, reject an authority that contains more than one at-sign or any tab, carriage-return, or line-feed before calling fast-uri, or treat any non-empty parse error as fatal and compare hosts only from the same parse result.

Klassifikation & Betroffenheit:

CWE-20CWE-436 fast-uri fast-uri 2.4.2 <2.4.8fast-uri 4.0.1 <4.2.3fast-uri 3.1.3 <3.1.9

Improper Input Validation 🎯 High

The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.

🛡️ Empfohlene Mitigation: Consider using language-theoretic security (LangSec) techniques that characterize inputs using a formal language and build "recognizers" for that language. This effectively requires parsing to be a distinct layer that effectively enforces a boundary between raw input and internal data representations, instead of allowi…

Vollständige Definition bei MITRE ➔

⚔️ Typische Angriffsmuster (CAPEC):

CAPEC-10 · Buffer Overflow via Environment Variable… (High) CAPEC-13 · Subverting Environment Variable Values (Very High) CAPEC-101 · Server Side Include (SSI) Injection (High) CAPEC-104 · Cross Zone Scripting (High) CAPEC-108 · Command Line Execution through SQL Injec… (Very High) CAPEC-109 · Object Relational Mapping Injection (High) CAPEC-110 · SQL Injection through SOAP Parameter Tam… (Very High) CAPEC-120 · Double Encoding (Medium)

🎯 ATT&CK-Techniken (Kill-Chain-Verhalten):

T1562.003 · Impair Defenses:Impair Command His… T1574.006 · Hijack Execution Flow:Dynamic Link… T1574.007 · Hijack Execution Flow:Path Interce…

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2025-7099 6.3 CVE-2025-41379 6.3 CVE-2025-1736 6.3 CVE-2025-1734 6.3 CVE-2025-1217 6.3

🩹 Patch verfügbar (OSV):

🩹 3505e4b9b09920a07f52e82a3edbb6fbbc707200 (Commit) 🩹 0def70338a0fa2f12a10c83ae8eafc2139ae9a07 (Commit)

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2026

Veröffentlicht 10/2026

Heute 09.11.

CVSS-Vektor-Analyse: 4.8

AV · Angriffsvektor Netzwerk

AC · Komplexität Hoch

PR · Privilegien Keine

UI · Interaktion Keine

S · Scope Unverändert

C · Vertraulichkeit Gering

I · Integrität Gering

A · Verfügbarkeit Keine

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

CNA-Bewertung (openjs): 4.8 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Veröffentlicht:20.10.2026

Aktualisiert:20.10.2026 20:06

Assigner (CNA):openjs

EUVD-ID:EUVD-2026-104813

Quellen: 🇪🇺 EUVD-Datenbank (ENISA) + 🇺🇸 NVD-Anreicherung · 24-h-Cache

CWE-20 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

👁 Sichtung melden

Du hast diese Schwachstelle in deiner Umgebung beobachtet (oder einen Fehlalarm erkannt)? Melde es — nach redaktioneller Freigabe zählt deine Meldung in den Sighting-Vertrauensscore.

🔴 Live Security Advisory & EPSS Exploit Radar

Zero-Day & Vulnerability Intelligence Hub

Echtzeit-Tracking mit EPSS Exploit-Wahrscheinlichkeiten, Angriffsvektor-Decodern und KI-Patch-Anleitungen.

🟢 SSE Realtime Synchronisiert ⚡ REST API (JSON) 📡 Digest (RSS) 📡 RSS Feed

419k+ 🇪🇺 EUVD-Datenbank

0 🔴 Critical im Radar

0 ⚠️ CISA KEV

0 🔓 Aktiv ausgenutzt

1 🧪 PoC verfügbar

3 🆕 Neu im KEV (7 T)

📊 Historien-Charts — Criticals-Trend · Vendors · EPSS-Verteilung

🔴 Criticals pro Monat (12 M) 10.764 Criticals · ▮ KEV-Anteil · ┄ Ø CVSS 9,5

🏢 Top-Vendor-Veröffentlichungen (6 M)

● Adobe ● Apache Software Foundation ● Apple ● Google ● IBM ● Linux ● Microsoft ● Oracle Corporation

📈 EPSS-Verteilung (Messungen)

Tier	CVEs	Anteil
≥90 %	785	0,2 %
≥50 %	3.559	0,9 %
≥10 %	13.140	3,2 %
<10 %	396.071	95,8 %

413.555 CVEs mit EPSS-Score (FIRST.org) · Stand 09.11.2026

📈 EPSS-Riser (7 Tage) CVE-2026-75650 ↑ 95.43 % CVE-2026-59310 ↑ 59.10 % CVE-2026-102764 ↑ 59.04 %

Frühindikator · FIRST.org

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

Ökosystem & Hersteller Bedrohungs-Matrix:

4.8 MEDIUM

EPSS

0.3%

CVE-2026-110180 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig

fast-uri

CVE-2026-110180 | fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions from 2.4.2 through 2.4.7, from 3.1.3 through 3.1.8, and from 4.0.1 through 4.2.2, for HTTP-family schemes the canonicalizeHost() function passes the parsed host to the WHATWG URL parser and adopts its hostname without checking that the parser consumed the entire input as a host, so the authority can be silently rewritten: data before an at-sign is dropped and tab, carri

CWE-20 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

vor 20 Tagen ↻ vor 19 Tagen

🛡️ Details ➔

1 von ~1 Einträgen geladen Ende der Trefferliste — 1 Einträge geladen. Tipp: Filter leichtern für tieferes Blättern.