ChromaDB – Pre-Auth Code-Injection (Remote Code Execution)

Beschreibung

Eine Code-Injection-Schwachstelle im ChromaDB-Python-Projekt (ab Version 1.0.0) erlaubt es einem nicht authentifizierten Angreifer, durch Senden einer manipulierten Anfrage beliebigen Code auf dem Server auszuführen. Die Lücke wirkt vor der Authentifizierung und ist damit über das Netzwerk ohne gültige Anmeldedaten ausnutzbar. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 12.4 %.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Caddy

• SonicWall SMA1000 – Code-Injection-Schwachstelle KEV CVE-2026-15410
• Microsoft SharePoint – Remote-Codeausführung durch unsichere Deserialisierung KEV CVE-2026-58644
• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• TrueConf Client – Download ohne Integritätsprüfung KEV CVE-2026-3502
• Microsoft Windows Video ActiveX Control – Remote Code Execution KEV CVE-2008-0015
• Notepad++ – Download of Code Without Integrity Check KEV CVE-2025-15556