Eine Schwachstelle in der E-Mail-Software Mailcow ermöglicht es Angreifern, schädlichen Code in die Datenbank einzuschleusen, der später bei der Ausführung von Quarantäne-Benachrichtigungen aktiviert wird und sensible Daten wie Administrator-Passwörter preisgeben kann.
Eine Schwachstelle in der Neko-Software (virtueller Browser in Docker) ermöglicht es jedem angemeldeten Benutzer, sofort vollständige Administratorrechte über die gesamte Instanz zu erlangen und diese komplett zu übernehmen.
Eine Sicherheitslücke in OpenClaw ermöglicht es Angreifern, Sicherheitskontrollen zu umgehen, indem sie Umgebungsvariablen überschreiben und dadurch Proxy-Einstellungen, TLS-Überprüfungen und Docker-Beschränkungen aushebeln können.
Eine kritische Sicherheitslücke in Flowsint, einem OSINT-Analysewerkzeug, ermöglicht es Angreifern, beliebige Systembefehle als Administrator auszuführen, indem sie spezielle Zeichen in Organisationsknoten einschleusen und aus Docker-Containern ausbrechen.
Eine Schwachstelle in Arcane, einer Docker-Verwaltungsschnittstelle, ermöglicht es Angreifern, den Server dazu zu bringen, HTTP-Anfragen an beliebige URLs zu senden und die Antworten zu erhalten, ohne dass eine Authentifizierung erforderlich ist.
Eine Schwachstelle in der Docker-Verwaltungsanwendung Dockyard ermöglicht es Angreifern, Container über manipulierte Links zu starten oder zu stoppen, wenn ein Administrator diese anklickt.
Eine Schwachstelle in der Sonicverse Radio-Software ermöglicht es angemeldeten Benutzern, beliebige HTTP-Anfragen vom Server an interne oder externe Systeme zu senden, wodurch sensible Daten preisgegeben oder interne Dienste angegriffen werden können.
Eine Schwachstelle im suvarchal docker-mcp-server ermöglicht es Angreifern, über die HTTP-Schnittstelle schädliche Betriebssystembefehle einzuschleusen und auszuführen. Dies kann zur vollständigen Systemkompromittierung führen.
Eine Schwachstelle in der BentoML Python-Bibliothek ermöglicht es Angreifern, schädlichen Code auf dem Host-System auszuführen, wenn Nutzer ein manipuliertes Bento-Archiv importieren und containerisieren.
Eine Schwachstelle in Aperi'Solve ermöglicht es Angreifern, über ungeprüfte Passwort-Eingaben bei JPEG-Uploads beliebigen Code auszuführen und vollständige Kontrolle über den Server zu erlangen.
Eine Schwachstelle in der Kestra-Orchestrierungsplattform ermöglicht es authentifizierten Benutzern, durch das Besuchen eines manipulierten Links beliebige Befehle auf dem Server auszuführen.
Docker Model Runner hat eine Schwachstelle, die es Angreifern ermöglicht, interne Netzwerkdienste anzugreifen und deren Daten zu stehlen, indem sie bösartige Container-Registries verwenden.
Eine Schwachstelle im Claude SDK für Python speicherte Dateien mit unsicheren Berechtigungen, wodurch lokale Angreifer auf geteilten Systemen sensible Daten lesen oder in Docker-Umgebungen das Verhalten von KI-Modellen manipulieren konnten.
Eine Sicherheitslücke in Admidio (nicht Docker Engine) ermöglicht es Angreifern, hochgeladene Dokumente ohne Authentifizierung über HTTP abzurufen, da die Apache-Konfiguration im Docker-Image Zugriffsbeschränkungen ignoriert.
Eine Sicherheitslücke in der act-Software (nicht Docker Engine) ermöglicht es Angreifern über das Netzwerk, schädliche Cache-Dateien zu erstellen und bestehende Caches abzurufen, was zur Ausführung von Schadcode in Docker-Containern führen kann.
Docker Engine hat eine Schwachstelle in der Plugin-Installation, bei der Berechtigungen umgangen werden können. Das System akzeptiert fälschlicherweise andere Privilegien als vom Nutzer genehmigt, was Plugins erweiterte Systemzugriffe ermöglichen könnte.
CrewAI überprüft nicht ordnungsgemäß, ob Docker während der Laufzeit noch aktiv ist, und wechselt zu unsicheren Sandbox-Einstellungen, die Angreifern die Ausführung von beliebigem Code ermöglichen.
Ein Fehler in CrewAI CodeInterpreter ermöglicht die Ausführung beliebiger C-Funktionen, wenn Docker nicht erreichbar ist und das System auf SandboxPython zurückgreift, was zu vollständiger Systemkompromittierung führen kann.
Eine Schwachstelle in Home Assistant ermöglicht es Geräten im lokalen Netzwerk, ohne Authentifizierung auf interne Endpunkte zuzugreifen, die eigentlich geschützt sein sollten.
Wazuh-Installationsskripte und Docker-Dateien verwenden unsichere Downloads ohne SSL-Zertifikatsprüfung, wodurch Angreifer im Netzwerk schädlichen Code einschleusen und die Software-Lieferkette kompromittieren können.
Eine Schwachstelle in Docker BuildKit ermöglicht es Angreifern, durch manipulierte Git-URLs auf Dateien außerhalb des vorgesehenen Repository-Verzeichnisses zuzugreifen und so vertrauliche Daten vom gleichen Dateisystem zu lesen.
Eine Schwachstelle in der BentoML Python-Bibliothek ermöglicht es Angreifern, beliebige Befehle während der Docker-Container-Erstellung auszuführen, indem schädliche Werte in die Konfigurationsdatei eingefügt werden.
Eine Schwachstelle im Zabbix Agent 2 Docker-Plugin ermöglicht es Angreifern, beliebige Dateien aus laufenden Docker-Containern zu lesen, indem sie schädliche Parameter in die Docker-API einschleusen.
Eine Schwachstelle in FastGPT ermöglicht es externen Mitwirkenden, schädlichen Code auszuführen und geheime Daten zu stehlen, indem sie manipulierte Docker-Container über Pull-Requests einschleusen.
Die Video-Plattform AVideo wird mit dem Standard-Admin-Passwort "password" ausgeliefert, das bei der Installation automatisch verwendet wird. Angreifer können dadurch sofort die vollständige Kontrolle über ungeschützte Installationen übernehmen und Nutzerdaten stehlen oder schädlichen Code ausführen
Eine kritische Schwachstelle in Docker Engine ermöglicht es vertrauenswürdigen Benutzern, die Netzwerkisolierung zwischen Containern zu umgehen und auf Dienste in anderen Container-Netzwerken zuzugreifen.
Eine Schwachstelle in SiYuan (nicht Docker Engine) ermöglicht es Administratoren, Dateien an beliebige Systemorte zu schreiben, was zur Zerstörung von Daten oder vollständigen Systemkompromittierung führen kann.
SiYuan, ein Wissensmanagementsystem, erlaubt Administratoren durch eine unzureichend abgesicherte API das Kopieren und Auslesen sensibler Dateien wie Docker-Geheimnisse oder Systemdateien außerhalb des vorgesehenen Arbeitsbereichs.
Eine Schwachstelle in Softing smartLinks Software auf Docker ermöglicht unbefugten Zugriff auf Dateien des Systems durch fehlerhafte URL-Überprüfungen im Webserver.
OneUptime-Software protokolliert Passwort-Reset-Links mit geheimen Tokens in Standard-Logdateien, wodurch Angreifer mit Zugriff auf diese Logs fremde Benutzerkonten übernehmen können.
Eine Schwachstelle in der Dagu Workflow-Engine ermöglicht es Angreifern, durch manipulierte Pfadangaben wichtige Systemdateien zu löschen, was zu einem kompletten Systemausfall führen kann.
LinkAce, eine selbst gehostete Link-Archivierungssoftware, erlaubt es Angreifern, interne Netzwerkressourcen und Cloud-Metadaten über die Link-Erstellungsfunktion abzurufen, da keine Validierung privater IP-Adressen stattfindet.
WeKnora, ein KI-Framework für Dokumentenverarbeitung, hat eine Sicherheitslücke in der URL-Import-Funktion, die es Angreifern ermöglicht, interne Serverdienste über Weiterleitungen zu erreichen und auf vertrauliche Daten zuzugreifen.
Eine Schwachstelle in der Docker-Konfiguration von AVideo macht den Memcached-Dienst ohne Authentifizierung über das Internet erreichbar, wodurch Angreifer Benutzersitzungen manipulieren und Administrator-Konten übernehmen können.
Eine Schwachstelle in OpenClaw ermöglicht es Angreifern, durch SHA-1-Kollisionen den Cache zu manipulieren, wodurch Sandbox-Konfigurationen vertauscht werden können und unsichere Zustände wiederverwendet werden.
Docker CLI für Windows sucht Plugin-Dateien in einem Verzeichnis, das standardmäßig nicht existiert, wodurch Angreifer mit geringen Rechten schädliche Plugins platzieren können, die bei der Nutzung von Docker ausgeführt werden und Rechte-Erweiterung ermöglichen.
Ein Fehler im kaniko Container-Build-Tool ermöglicht es Angreifern, Dateien außerhalb des vorgesehenen Verzeichnisses zu schreiben, was in bestimmten Umgebungen zur Codeausführung führen kann.
Docker Model Runner hat eine Schwachstelle, die es Angreifern ermöglicht, beliebige Dateien zu überschreiben oder zu erstellen, ohne sich authentifizieren zu müssen. Dies kann zur Zerstörung aller Docker-Container und -Daten führen oder in bestimmten Fällen sogar Container-Ausbrüche ermöglichen.
Eine Schwachstelle in Canarytokens ermöglicht es Angreifern, schädlichen JavaScript-Code in PWA-Token einzuschleusen, der ausgeführt wird, wenn jemand die Installationsseite besucht, jedoch keine sensiblen Daten preisgegeben werden.
Eine Schwachstelle in der Beszel Server-Monitoring-Plattform ermöglicht es angemeldeten Benutzern, durch manipulierte Parameter auf beliebige Docker-API-Endpunkte zuzugreifen und sensible Infrastrukturdaten einzusehen.
Eine Schwachstelle in WireGuard Portal ermöglicht es normalen Benutzern, sich selbst Administrator-Rechte zu geben, indem sie ihre Profildaten mit einem speziellen Parameter ändern.
Eine Sicherheitslücke in einem API-Gateway-Deployment-Tool ermöglicht es Angreifern, beliebige Befehle mit Root-Rechten auszuführen und möglicherweise aus dem Container auszubrechen, um die zugrundeliegende Infrastruktur zu kompromittieren.
Eine Schwachstelle im grpcfuse-Kernelmodul von Docker Desktop ermöglicht es lokalen Angreifern, durch Schreibzugriffe auf bestimmte Systemdateien Speicher außerhalb der vorgesehenen Grenzen zu lesen und dadurch unbestimmte Schäden zu verursachen.
BigBlueButton-Software enthält fehlerhafte Dokumentation, die Administratoren dazu anleitet, einen Virenscanner-Service unsicher zu konfigurieren, wodurch Angreifer den Server überlasten oder zum Absturz bringen können.
Eine Schwachstelle in OpenClaw (nicht Docker Engine) führt dazu, dass Änderungen in der Reihenfolge von Konfigurationseinstellungen nicht erkannt werden, wodurch veraltete Container weiterverwendet werden könnten.
Eine Schwachstelle in OpenClaw (einem KI-Assistenten) ermöglicht es Angreifern, gefährliche Docker-Einstellungen zu injizieren, wodurch Container aus ihrer Sandbox ausbrechen und auf das Host-System zugreifen können.
Eine Sicherheitslücke in Trivy Action (GitHub-Tool zum Scannen von Docker-Images) ermöglicht es Angreifern, beliebige Befehle auszuführen, wenn benutzerkontrollierte Eingaben unsachgemäß verarbeitet werden.
Eine Schwachstelle in Keycloak ermöglicht es, dass deaktivierte Docker-Registry-Clients weiterhin Authentifizierungstoken erhalten können, wodurch administrative Kontrollen umgangen und unbeabsichtigter Zugriff auf Container-Registry-Ressourcen ermöglicht wird.
Eine Sicherheitslücke in Crawl4AI vor Version 0.8.0 ermöglicht es Angreifern, beliebige Dateien vom Server zu lesen, indem sie spezielle URLs an bestimmte Endpunkte senden und so sensible Daten wie Passwörter oder API-Schlüssel stehlen können.
Eine Schwachstelle in Crawl4AI (nicht Docker Engine) ermöglicht es Angreifern, beliebigen Python-Code über eine Web-Schnittstelle auszuführen, was zur vollständigen Übernahme des Servers führen kann.
OpenFGA, eine Autorisierungs-Engine, hat in den Versionen 1.8.5 bis 1.11.2 einen Fehler bei der Durchsetzung von Zugriffsrichtlinien, wodurch unter bestimmten Bedingungen falsche Berechtigungsprüfungen auftreten können.