🛡️ tsecurity.de
Zur Startseite 🏭 Hersteller 🧭 ATT&CK 🎯 Ausgenutzt 🔖 Lesezeichen
EILMELDUNGEN LIVE News-Tinder DECK
Sicherheitslücken (CVE)CVE-2026-123183 | PluginUs.Net Active Products Tables Plugin up to 2.1.6 on WordPress cross site scripting (EUVD-2026-119225)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-121775 | Villame CURCY Plugin up to 2.2.20 on WordPress authorization (EUVD-2026-119223)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123474 | LeapWorx Premium Blocks Plugin up to 2.3.18 on WordPress authorization (EUVD-2026-119224)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123462 | myCred Plugin up to 4.0.2 on WordPress missing authentication (EUVD-2026-119222)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-122669 | Everest Forms Plugin up to 3.6.3 on WordPress cross site scripting (EUVD-2026-119221)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-121784 | Magepeople Bookingly Plugin up to 1.4.3 on WordPress cross site scripting (EUVD-2026-119219)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-122663 | Villame CURCY Plugin up to 2.2.20 on WordPress missing authentication (EUVD-2026-119220)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123477 | Crocoblock JetEngine Plugin up to 3.9.0.2 on WordPress cross site scripting (EUVD-2026-119218)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-119498 | RelyWP Simple Cloudflare Turnstile Plugin up to 1.44.4 on WordPress improper authentication (EUVD-2026-119212)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123963 | OpenBMB Internet of Agents up to 9d78e88e47160eb42ee1ee8538c05e1c2c47877a Agent Registry im_server/app.py register desc/name missing authentication (Issue 21 / EUVD-2026-119217)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123183 | PluginUs.Net Active Products Tables Plugin up to 2.1.6 on WordPress cross site scripting (EUVD-2026-119225)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-121775 | Villame CURCY Plugin up to 2.2.20 on WordPress authorization (EUVD-2026-119223)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123474 | LeapWorx Premium Blocks Plugin up to 2.3.18 on WordPress authorization (EUVD-2026-119224)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123462 | myCred Plugin up to 4.0.2 on WordPress missing authentication (EUVD-2026-119222)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-122669 | Everest Forms Plugin up to 3.6.3 on WordPress cross site scripting (EUVD-2026-119221)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-121784 | Magepeople Bookingly Plugin up to 1.4.3 on WordPress cross site scripting (EUVD-2026-119219)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-122663 | Villame CURCY Plugin up to 2.2.20 on WordPress missing authentication (EUVD-2026-119220)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123477 | Crocoblock JetEngine Plugin up to 3.9.0.2 on WordPress cross site scripting (EUVD-2026-119218)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-119498 | RelyWP Simple Cloudflare Turnstile Plugin up to 1.44.4 on WordPress improper authentication (EUVD-2026-119212)(07.11.2026 um 14:06 Uhr)
•
Sicherheitslücken (CVE)CVE-2026-123963 | OpenBMB Internet of Agents up to 9d78e88e47160eb42ee1ee8538c05e1c2c47877a Agent Registry im_server/app.py register desc/name missing authentication (Issue 21 / EUVD-2026-119217)(07.11.2026 um 14:06 Uhr)
•
🎯 CVE-2026-2332 🧪 PoC 🇪🇺 EUVD
💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕
Social ReaktionenReagiere als Erste:r — dein Feedback zählt!

CVE-2026-2332 | In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/2025/10/29/funky-chunks-2.html Jetty terminates chunk extension parsing at \r\n inside quoted strings instead of treating this as an error. POST / HTTP/1.1 Host: localhost Transfer-Encoding: chunked 1;ext="val X 0 GET /

In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here:
* https://w4ke.info/2025/06/18/funky-chunks.html

* https://w4ke.info/2025/10/29/funky-chunks-2.html


Jetty terminates chunk extension parsing at \r\n inside quoted strings instead of treating this as an error.




POST / HTTP/1.1
Host: localhost
Transfer-Encoding: chunked

1;ext="val
X
0

GET /smuggled HTTP/1.1
...





Note how the chunk extension does not close the double quotes, and it is able to inject a smuggled request.

Klassifikation & Betroffenheit:
CWE-444 Eclipse Foundation Eclipse Jetty 12.0.0 ≤12.0.32Eclipse Jetty 10.0.0 ≤10.0.27Eclipse Jetty 12.1.0 ≤12.1.6Eclipse Jetty 11.0.0 ≤11.0.28Eclipse Jetty 9.4.0 ≤9.4.59eclipse jetty *
Inconsistent Interpretation of HTTP Requests

The product acts as an intermediary HTTP agent (such as a proxy or firewall) in the data flow between two entities such as a client and server, but it does not interpret malformed HTTP requests or responses in ways that are consistent with how the messages will be processed by those entities that are at the ultimate destination.

🛡️ Empfohlene Mitigation: Use a web server that employs a strict HTTP parsing procedure, such as Apache [REF-433].
Vollständige Definition bei MITRE ➔
⚔️ Typische Angriffsmuster (CAPEC):
CAPEC-33 · HTTP Request Smuggling (High) CAPEC-273 · HTTP Response Smuggling (High)
🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):
CVE-2026-80515 8.9 CVE-2026-23527 8.9 CVE-2024-9408 8.9 CVE-2024-8912 8.9 CVE-2026-89293 8.8
🧪 Exploit-Evidenz:
🐙 xiaoqiMikko/jetty-line-check
🩹 Patch verfügbar (OSV):
🩹 1bd927df90579c8e6420c8d59c4cdb152c4ae0c0 (Commit) 🩹 8e2e9db9edceef93d37a63814ed06b921eb7f23d (Commit)
🇩🇪 BSI-Sicherheitshinweise: BSI · hoch · Oracle Enterprise Manager: Mehrere Schwachstellen ↗ BSI · hoch · SAP Patch Day September 2026: Mehrere Schwachstellen ↗ BSI · hoch · Oracle Enterprise Manager: Mehrere Schwachstellen ↗
📚 Referenzen & Quellen:
🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag
Ausnutzungs-Zeitleiste:
CVSS-Vektor-Analyse: 7.4
AV · Angriffsvektor Netzwerk
AC · Komplexität Hoch
PR · Privilegien Keine
UI · Interaktion Keine
S · Scope Unverändert
C · Vertraulichkeit Hoch
I · Integrität Hoch
A · Verfügbarkeit Keine
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
CNA-Bewertung (eclipse): 7.4 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Veröffentlicht:14.04.2026
Aktualisiert:26.10.2026 21:10
Assigner (CNA):eclipse
EUVD-ID:EUVD-2026-22243
Quellen: 🇪🇺 EUVD-Datenbank (ENISA) + 🇺🇸 NVD-Anreicherung · 24-h-Cache
CWE-444 ✓ Offizieller Patch / Advisory verfügbar
💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.
👁 Sichtung melden

Du hast diese Schwachstelle in deiner Umgebung beobachtet (oder einen Fehlalarm erkannt)? Melde es — nach redaktioneller Freigabe zählt deine Meldung in den Sighting-Vertrauensscore.

🔴 Live Security Advisory & EPSS Exploit Radar

Zero-Day & Vulnerability Intelligence Hub

Echtzeit-Tracking mit EPSS Exploit-Wahrscheinlichkeiten, Angriffsvektor-Decodern und KI-Patch-Anleitungen.

🟢 SSE Realtime Synchronisiert ⚡ REST API (JSON) 📡 Digest (RSS) 📡 RSS Feed
419k+ 🇪🇺 EUVD-Datenbank
0 🔴 Critical im Radar
0 ⚠️ CISA KEV
0 🔓 Aktiv ausgenutzt
1 🧪 PoC verfügbar
3 🆕 Neu im KEV (7 T)
📊 Historien-Charts — Criticals-Trend · Vendors · EPSS-Verteilung
🔴 Criticals pro Monat (12 M) 2025-12: 426 Criticals, davon 9 KEV, Ø CVSS 9,6 Dez 25 2026-01: 433 Criticals, davon 10 KEV, Ø CVSS 9,6 2026-02: 419 Criticals, davon 4 KEV, Ø CVSS 9,5 Feb 26 2026-03: 652 Criticals, davon 6 KEV, Ø CVSS 9,5 2026-04: 578 Criticals, davon 5 KEV, Ø CVSS 9,5 Apr 26 2026-05: 683 Criticals, davon 13 KEV, Ø CVSS 9,5 2026-06: 944 Criticals, davon 14 KEV, Ø CVSS 9,6 Jun 26 2026-07: 1329 Criticals, davon 13 KEV, Ø CVSS 9,6 2026-08: 1830 Criticals, davon 11 KEV, Ø CVSS 9,5 Aug 26 2026-09: 1551 Criticals, davon 17 KEV, Ø CVSS 9,5 2026-10: 1625 Criticals, davon 11 KEV, Ø CVSS 9,5 Okt 26 2026-11: 294 Criticals, davon 0 KEV, Ø CVSS 9,6 Ø CVSS je Monat 10.764 Criticals · ▮ KEV-Anteil · ┄ Ø CVSS 9,5
🏢 Top-Vendor-Veröffentlichungen (6 M) Adobe Apache Software Foundation Apple Google IBM Linux Microsoft Oracle Corporation
● Adobe ● Apache Software Foundation ● Apple ● Google ● IBM ● Linux ● Microsoft ● Oracle Corporation
📈 EPSS-Verteilung (Messungen)
TierCVEsAnteil
≥90 %7840,2 %
≥50 %3.5590,9 %
≥10 %13.1403,2 %
<10 %395.48995,8 %
412.972 CVEs mit EPSS-Score (FIRST.org) · Stand 07.11.2026
📈 EPSS-Riser (7 Tage) CVE-2026-102764 ↑ 59.04 % CVE-2026-75650 ↑ 30.79 % CVE-2026-76461 ↑ 10.62 %
Frühindikator · FIRST.org
Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).
🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS
Ökosystem & Hersteller Bedrohungs-Matrix:
Schweregrad & Status:
Hersteller (Datenbank-weit, 111.788 Einträge):
EPSS-Schwelle:
Exploit-Status:
Zeitfenster:
Sortierung:
Dynamik:
Quelle:
Schwachstellen-Kategorie (CWE):
🔍
7.4 HIGH
EPSS 1.3%
CVE-2026-2332 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig
Eclipse Foundation

CVE-2026-2332 | In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/2025/10/29/funky-chunks-2.html Jetty terminates chunk extension parsing at \r\n inside quoted strings instead of treating this as an error. POST / HTTP/1.1 Host: localhost Transfer-Encoding: chunked 1;ext="val X 0 GET /

In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/202

CWE-444 ✓ Offizieller Patch / Advisory verfügbar
💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.
🛡️ Details ➔
1 von ~1 Einträgen geladen Ende der Trefferliste — 1 Einträge geladen. Tipp: Filter leichtern für tieferes Blättern.