Verzeichnis

CVE-Verzeichnis: Schwachstellen in LLM- und Agenten-Software

Von Gökhan Köse, Herausgeber · Stand: 4. November 2026

Derzeit 22 Einträge. Das Verzeichnis ersetzt keine Schwachstellendatenbank. Es wählt aus, ordnet ein und verbindet die Einträge mit den Angriffstechniken und Schutzverfahren dieses Portals. Maßgeblich für Fakten sind NVD und die Herstellerangaben.

Übersicht

Die Einträge im Einzelnen

Codeausführung über den WebSocket-Endpunkt von gpt-researcher

CVE-2026-37006 · veröffentlicht 27.08.2026 · CVSS 9.8 (kritisch) · CWE-287 gpt-researcher (Recherche-Agent) — betroffen: 0.14.7 und früher

Der WebSocket-Endpunkt nimmt Konfigurationen für das Model Context Protocol ohne Authentifizierung entgegen. Eine präparierte MCP-Konfiguration führt zur Codeausführung aus der Ferne.

Warum das hier steht. Zeigt, dass die Werkzeug-Anbindung selbst zur Angriffsfläche wird: Nicht der Prompt ist der Einstieg, sondern die Konfiguration, die bestimmt, welche Werkzeuge das Modell überhaupt aufrufen darf.

Verwandt: tool poisoning mcp · tool missbrauch

Quellen: NVD-Eintrag

Codeausführung ohne Anmeldung über den visual_only-Dienst von LightLLM

CVE-2026-103395 · veröffentlicht 30.09.2026 · CVSS 9.8 (kritisch) · CWE-502 LightLLM (Inferenz-Infrastruktur) — betroffen: bis einschließlich 1.2.0, im Betriebsmodus visual_only

Im Betriebsmodus visual_only startet LightLLM für die Bildvorverarbeitung einen RPyC-Dienst, der ohne Authentifizierung auf allen Netzschnittstellen lauscht und die Übergabe serialisierter Python-Objekte (allow_pickle) erlaubt. Die Methode remote_infer_images deserialisiert die Argumente des Aufrufers. Wer den Port erreicht, übergibt ein Objekt mit präparierter __reduce__-Methode und führt Code mit den Rechten des Dienstkontos aus.

Warum das hier steht. Kein Prompt-Injection-Fall, sondern eine Lücke in der Schicht, auf der Modelle laufen, wie bei TensorRT-LLM. Betroffen sind gerade die Knoten, die in multimodalen Setups Bilder für das Modell aufbereiten. Wer Modelle selbst betreibt, muss diese internen Dienste wie jeden anderen Netzdienst abschotten; OWASP führt die Inferenz-Infrastruktur als Teil der Lieferkette (LLM04).

Hinweis. Stand 10.10.2026 gibt es keinen Patch: Das Issue #1610 ist offen, das letzte Release ist v1.2.0 vom 10.08.2026. Die NVD führt den Eintrag im Status „Deferred“; CVSS 9.8 (v3.1) und 9.3 (v4.0) stammen von VulnCheck als vergebender Stelle.

Verwandt: Am Prompt-Filter vorbei: Abrufwerkzeug als Kurier, offene LightLLM-Knoten, Abwehr im Modell

Quellen: NVD-Eintrag · Meldung beim Hersteller · Forschung

Codeausführung ohne Anmeldung über den Profiler-Dienst von LightLLM

CVE-2026-103040 · veröffentlicht 29.09.2026 · CVSS 9.8 (kritisch) · CWE-502 LightLLM (Inferenz-Infrastruktur) — betroffen: bis einschließlich 1.2.0, bei Start mit --enable_profiling

Mit dem Startparameter --enable_profiling öffnet der Router von LightLLM einen RPyC-Dienst ohne Authentifizierung, der auf allen Netzschnittstellen lauscht und serialisierte Python-Objekte annimmt (allow_pickle). Ein präpariertes Objekt in der Profiler-Befehlswarteschlange wird im Inferenzprozess deserialisiert und führt dort beliebigen Code aus. Der Dienst läuft danach unauffällig weiter.

Warum das hier steht. Dieselbe Schwachstellenklasse wie CVE-2026-103395, aber in einem anderen Dienst und unabhängig vom Betriebsmodus. Profiling ist ein gewöhnlicher Zustand bei der Leistungsanalyse; wer es auf einem erreichbaren Knoten einschaltet, öffnet damit den Inferenzprozess, in dem Modell und Anfragen liegen.

Hinweis. Stand 10.10.2026 gibt es keinen Patch: Das Issue #1597 ist offen, das letzte Release ist v1.2.0 vom 10.08.2026. Die NVD führt den Eintrag im Status „Deferred“; CVSS 9.8 (v3.1) und 9.3 (v4.0) stammen von VulnCheck als vergebender Stelle.

Quellen: NVD-Eintrag · Meldung beim Hersteller · Forschung

Fremdes Langzeitgedächtnis lesen und beschreiben bei Headroom

CVE-2026-77776 · veröffentlicht 21.08.2026 · CVSS 9.1 (kritisch) · CWE-639 Headroom (LLM-Proxy mit Gedächtnis) — betroffen: vor der Einführung von resolve_memory_identity

Der Proxy leitet den Eigentümer eines gespeicherten Gedächtnisses aus dem Anfrage-Kopf x-headroom-user-id ab, ohne diesen Wert an den Aufrufer zu binden. Ein Client kann die Kennung einer anderen Person angeben und deren gespeichertes Gedächtnis lesen oder verändern. Die mitgelieferte Compose-Datei bindet zudem an 0.0.0.0, ohne ein Proxy-Token zu verlangen.

Warum das hier steht. Verbindet zwei Risiken: den Abfluss fremder Daten und das Beschreiben eines Gedächtnisses, aus dem spätere Sitzungen lesen — die technische Grundlage der gespeicherten Prompt Injection.

Verwandt: gespeicherte prompt injection · memory injection

Quellen: NVD-Eintrag

Beliebige Befehle über die MCP-Testendpunkte von LiteLLM

CVE-2026-42271 · veröffentlicht 08.05.2026 · CVSS 8.8 (hoch) · CWE-77 · CWE-78 LiteLLM (KI-Gateway / Proxy) — betroffen: 1.74.2 bis vor 1.83.7, behoben in 1.83.7

Zwei Endpunkte zum Vorabtesten eines MCP-Servers nahmen eine vollständige Serverkonfiguration im Anfragekörper entgegen, einschließlich der Felder command, args und env für den stdio-Transport. Beim Verbindungsversuch startete der Proxy den übergebenen Befehl als Unterprozess mit seinen eigenen Rechten. Geschützt waren die Endpunkte nur durch einen gültigen API-Schlüssel, ohne Rollenprüfung.

Warum das hier steht. Ein Gateway, das viele Anwendungen bündelt, ist ein lohnendes Ziel: Eine Schwachstelle darin wirkt auf alle angebundenen Systeme. Zeigt außerdem, dass eine Authentifizierung ohne Rechteprüfung keine Grenze ist.

Verwandt: tool poisoning mcp · tool missbrauch

Quellen: NVD-Eintrag · Herstellerangabe

Befehlseinschleusung in Microsoft Copilot

CVE-2026-24301 · veröffentlicht 18.08.2026 · CVSS 8.8 (hoch) · CWE-77 Microsoft Copilot (Assistent im Produktivsystem)

Unzureichende Neutralisierung von Sonderzeichen in einem Befehl erlaubte einem unbefugten Angreifer, Informationen über das Netz abzugreifen.

Warum das hier steht. Der zweite CVE-geführte Fall in Microsofts Assistenten nach EchoLeak. Er belegt, dass die Angriffsfläche eines Assistenten mit Zugriff auf Unternehmensdaten nicht mit einem einzelnen Patch verschwindet.

Verwandt: datenexfiltration link · code injection via llm · EchoLeak: der erste CVE-geführte Fall in Microsoft 365 Copilot

Quellen: NVD-Eintrag · Herstellerangabe

Befehlsausführung über eine präparierte .git/config in Hermes Agent

CVE-2026-71963 · veröffentlicht 03.09.2026 · CVSS 8.8 (hoch) · CWE-78 Hermes Agent (Nous Research) (Agenten-Harness / Coding-Agent) — betroffen: 0.18.2 bis 0.21.0, behoben in Commit f6234d0 (PR #101483)

Ein Repository mit einer .git/config, die core.fsmonitor auf einen Angreiferbefehl setzt, bringt Hermes Agent zur Ausführung dieses Befehls. Sobald der Nutzer den Ordner öffnet und eine beliebige Nachricht sendet, ruft der Agent git status auf; die Index-Aktualisierung startet den Befehl im Prozesskontext des Nutzers, mit Zugriff auf die gesamte Umgebung einschließlich der hinterlegten API-Schlüssel.

Warum das hier steht. Teil der Schwachstellenklasse GitSpawn, die Manifold Security in sieben Coding-Agenten fand. Der Befehl läuft im Harness, bevor das Modell etwas entscheidet und bevor eine Freigabe abgefragt wird. Eine Kontrolle im Modell greift hier nicht; die Grenze muss das Harness ziehen, das Werkzeuge auf fremden Daten ausführt.

Verwandt: tool missbrauch

Quellen: NVD-Eintrag · Herstellerangabe · Forschung

Unzureichende Richtliniendurchsetzung im WebView-Tag von Chrome

CVE-2026-0628 · veröffentlicht 07.01.2026 · CVSS 8.8 (hoch) · CWE-862 Google Chrome (Gemini in Chrome) (Browser mit Assistent) — betroffen: vor 143.0.7499.192, behoben in 143.0.7499.192

Eine bösartige Erweiterung konnte Skripte oder HTML in eine privilegierte Seite einschleusen, wenn der Nutzer sie installiert hatte. Die Lücke ist eine der beiden CVEs aus der BragJack-Forschung, mit der sich der eingebaute Browser-Agent kapern ließ.

Warum das hier steht. BragJack zeigt einen Weg in agentische Browser, der ohne klassische Prompt Injection auskommt: Die Erweiterung übernimmt den Kanal zwischen Oberfläche und Agent und schreibt dem Agenten die Eingabe direkt vor. Betroffen waren fünf Browser-Agenten. Behoben im Januar 2026, veröffentlicht als Forschung im September 2026.

Quellen: NVD-Eintrag · Herstellerangabe · Forschung

Server-Side Request Forgery und Abfluss von Anbieter-Schlüsseln in Flowise

CVE-2026-91935 · veröffentlicht 15.09.2026 · CVSS 8.3 (hoch) · CWE-918 Flowise (Plattform für LLM-Abläufe) — betroffen: vor 3.1.4, behoben in 3.1.4

Acht Chat-Modell-Knoten übernahmen eine frei wählbare Basis-URL des Modellanbieters ungeprüft und umgingen damit Flowises eigenen SSRF-Schutz. Wer Abläufe anlegen oder ändern durfte, konnte Anfragen an interne Hosts oder Cloud-Metadatendienste umleiten und die hinterlegten API-Schlüssel der Modellanbieter mitlesen.

Warum das hier steht. Die Rechte zum Anlegen von Abläufen haben in Flowise gewöhnliche Mitglieder eines Arbeitsbereichs, nicht nur Administratoren. Wie bei LiteLLM ist die Plattform, die Modelle und Werkzeuge verbindet, der Ort, an dem alle Schlüssel zusammenlaufen.

Quellen: NVD-Eintrag · Herstellerangabe

Anmeldung am MCP-Endpunkt von LiteLLM mit beliebigem Token umgehbar

CVE-2026-59822 · veröffentlicht 08.07.2026 · CVSS 8.2 (hoch) · CWE-287 · CWE-306 LiteLLM (KI-Gateway / Proxy) — betroffen: vor 1.84.0, behoben in 1.84.0

Der MCP-Endpunkt (Streamable HTTP) nahm einen erfundenen Authorization-Header entgegen und fiel bei gescheiterter Schlüsselprüfung auf einen OAuth2-Durchreichpfad zurück, der die Anfrage mit einem leeren Berechtigungsobjekt weiterlaufen ließ. Anfragen erreichten so die angebundenen MCP-Werkzeuge ohne gültigen Schlüssel.

Warum das hier steht. Der MCP-Endpunkt ist die Stelle, an der ein Gateway Werkzeuge an Modelle weiterreicht. Wer ihn ohne Anmeldung erreicht, erreicht alle Werkzeuge, die dahinter freigeschaltet sind. Wiz hat die Ausnutzung im Honeypot beobachtet; die Lücke steht seit dem 2. September 2026 im CISA-Katalog ausgenutzter Schwachstellen.

Verwandt: tool missbrauch · tool poisoning mcp

Quellen: NVD-Eintrag · Herstellerangabe · Wiz Research

Inferenzserver von NemoClaw ohne Anmeldung erreichbar

CVE-2026-65105 · veröffentlicht 25.08.2026 · CVSS 8.1 (hoch) · CWE-306 NVIDIA NemoClaw (Bereitstellung lokaler Agenten)

NemoClaw für Linux richtet den Inferenzserver so ein, dass ein entfernter Angreifer den Inferenzdienst ohne Authentifizierung erreicht; die NVD nennt als Folgen Informationsabfluss und Dienstverweigerung. Nach der Analyse von Cyera genügt dafür der Besuch einer präparierten Webseite, und der Angreifer kann Anweisungen dauerhaft in der Modellkonfiguration verankern.

Warum das hier steht. Der Übergang von Prompt Injection zur Vergiftung des eigenen Modells: Nicht der Agent wird überredet, sondern der Server, der ihm antwortet, wird umkonfiguriert. Least Privilege gilt auch für Dienste auf localhost.

Verwandt: memory injection · indirekte prompt injection

Quellen: NVD-Eintrag · Forschungsbericht Cyera

Übernahme fremder Konten über die JWT-Anmeldung von LiteLLM

CVE-2026-93355 · veröffentlicht 28.09.2026 · CVSS 8.1 (hoch) · CWE-1390 LiteLLM (KI-Gateway / Proxy) — betroffen: bis einschließlich 1.102.1

Findet LiteLLM zu einem gültig signierten JWT keinen Nutzer über dessen Kennung, sucht der Proxy ersatzweise über die E-Mail-Adresse im Token, ohne den Claim email_verified zu prüfen. Wer beim angebundenen Identitätsanbieter ein Token mit der unbestätigten Adresse eines Opfers erhält, meldet sich als dieses Konto an, auch als proxy_admin. Im Hintergrund überschreibt der Proxy zudem die gespeicherte SSO-Bindung des Opfers mit der Kennung des Angreifers, der Zugang bleibt damit dauerhaft.

Warum das hier steht. Der vierte Eintrag zu LiteLLM in diesem Verzeichnis. Ein Administratorkonto am Gateway öffnet die hinterlegten Schlüssel aller angebundenen Modellanbieter und die Nutzerverwaltung. Wie bei CVE-2026-59822 liegt die Lücke in der Anmeldung, nicht im Modell.

Hinweis. OX Security meldete die Lücke am 18.05.2026 und veröffentlichte nach ausbleibender Antwort des Herstellers. Eine Korrektur durch BerriAI ist bis 10.10.2026 nicht belegt; die Release-Notes zu 1.102.2 nennen nur eine Änderung am Format der Sitzungstoken. OX gibt CVSS 8.8 und CWE-290 an, maßgeblich ist hier die Bewertung von VulnCheck in der NVD.

Quellen: NVD-Eintrag · Forschung

Pfaddurchquerung im Dokumenten-Parser von Qwen-Agent

CVE-2026-82275 · veröffentlicht 28.08.2026 · CVSS 7.5 (hoch) · CWE-22 Qwen-Agent (Agenten-Framework) — betroffen: bis 0.0.34

Der Dokumenten-Parser begrenzt den Dateizugriff nicht auf die vorgesehenen Verzeichnisse. Über die nicht authentifizierte Gradio-Oberfläche lassen sich absolute Pfade angeben und beliebige Dateien lesen, auf die der Serverprozess Zugriff hat.

Warum das hier steht. Der Dokumenten-Parser ist der Kanal, über den Fremddaten in den Kontext gelangen. Ist er zugleich ein Leseweg ins Dateisystem, wird aus dem Einlesekanal ein Ausleitkanal.

Verwandt: dokumenten injection

Quellen: NVD-Eintrag

Unsichere Deserialisierung im MPI-Server von NVIDIA TensorRT-LLM

CVE-2025-33255 · veröffentlicht 20.05.2026 · CVSS 7.5 (hoch) · CWE-502 NVIDIA TensorRT-LLM (Inferenz-Infrastruktur)

Der MPI-Server enthält eine Schwachstelle, über die sich eine unsichere Deserialisierung auslösen lässt. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Dienstverweigerung, Datenmanipulation und Informationsabfluss führen.

Warum das hier steht. Kein Prompt-Injection-Fall, sondern eine klassische Schwachstelle in der Schicht, auf der Modelle ausgeführt werden. Sie steht hier, weil die Lieferkette eines LLM-Systems bei der Inferenz-Infrastruktur beginnt — OWASP führt das seit 2026 als LLM04.

Quellen: NVD-Eintrag

Server-Side Request Forgery über das SeleniumScrapingTool von crewai-tools

CVE-2026-112308 · veröffentlicht 19.10.2026 · CVSS 7.4 (hoch) · CWE-918 crewai-tools (Werkzeugsammlung für Agenten-Frameworks) — betroffen: bis einschließlich 1.15.28

Das SeleniumScrapingTool prüft Ziel-URLs nicht gegen private Adressen, obwohl crewai-tools dafür eine Prüffunktion mitbringt. Wer die Eingabe des Werkzeugs per Prompt Injection beeinflusst, lenkt den eingebauten Chrome-Browser auf Loopback, interne Netze oder die Metadaten-Adressen der Cloud und liest dort interne Daten und Cloud-Zugangsdaten aus.

Warum das hier steht. Die NVD-Beschreibung nennt Prompt Injection ausdrücklich als Angriffsweg: Ein Modell, das fremde Inhalte liest, bestimmt die URL, die das Werkzeug abruft. Damit wird eine eingeschleuste Anweisung zum Zugriff auf das interne Netz. Einordnung im Beitrag Am Kontextfenster vorbei.

Hinweis. Eine korrigierte Version nennt die NVD nicht. Eigene Prüfung am 04.11.2026: Die Datei selenium_scraping_tool.py ist in crewai-tools 1.15.35 vom 03.11.2026 bytegleich mit 1.15.28, ein Pull Request mit dem Fix wurde am 17.09.2026 ohne Übernahme geschlossen. CVSS 4.0 laut VulnCheck: 8.3.

Verwandt: indirekte prompt injection · tool missbrauch

Quellen: NVD-Eintrag · VulnCheck-Advisory

Umgangene Freigabepflicht bei CodeWhale

CVE-2026-75857 · veröffentlicht 18.08.2026 · CVSS 7.0 (hoch) · CWE-269 CodeWhale (Coding-Agent) — betroffen: ab 0.8.41 bis vor 0.8.64, behoben in 0.8.64

Das Werkzeug exec_shell_interact meldete seinen Freigabebedarf als automatisch und hob damit die sonst verlangte Bestätigung für ausführende Werkzeuge auf. Vom Modell gesteuerte Eingaben landeten so ohne Rückfrage in einer bereits freigegebenen, dauerhaft laufenden Sitzung — etwa einer Python-Konsole, einer Datenbank-Sitzung oder einer Sitzung mit erhöhten Rechten. Wer Anweisungen über abgerufene Seiten, MCP-Antworten oder Dateien im Repository einschleust, lässt Befehle mit den Rechten dieses Prozesses laufen.

Warum das hier steht. Die menschliche Freigabe gilt als eine der wenigen belastbaren Gegenmaßnahmen. Hier wurde sie nicht überwunden, sondern durch eine Fehlkonfiguration im Werkzeug selbst abgeschaltet — eine Erinnerung daran, dass eine Kontrolle nur wirkt, solange sie nicht optional ist.

Verwandt: indirekte prompt injection · tool missbrauch · confused deputy agent

Quellen: NVD-Eintrag

Eigener Python-Code über die Guardrail-Funktion von LiteLLM

CVE-2026-59821 · veröffentlicht 08.07.2026 · CVSS 7.2 (hoch) · CWE-94 LiteLLM (KI-Gateway / Proxy) — betroffen: vor 1.82.0-stable, behoben in 1.82.0-stable

Die Pfade zum Anlegen und Ändern von Custom-Code-Guardrails wendeten nicht dieselbe Sandbox und Prüfung an wie der Testendpunkt. Ein Nutzer mit dem Recht, Guardrails zu verwalten, konnte eigenen Python-Code übergeben, der in der Umgebung des Proxys lief.

Warum das hier steht. Guardrails sollen das Modell schützen; hier wurden sie zum Weg in den Server. In Kombination mit dem Standard-Master-Key, den nach Wiz-Messung 9,6 Prozent der öffentlichen Instanzen akzeptieren, wird aus der Lücke für Angemeldete eine für jedermann.

Verwandt: tool missbrauch · code injection via llm

Quellen: NVD-Eintrag · Herstellerangabe · Wiz Research

Nicht durchgesetzte Werkzeuggrenze in Spring AI

CVE-2026-59318 · veröffentlicht 21.08.2026 · CVSS 6.5 (mittel) · CWE-863 Spring AI (Anwendungsrahmenwerk) — betroffen: 1.0.0–1.0.9, 1.1.0–1.1.8, 2.0.0

Die je Anfrage zusammengestellte Werkzeugliste wird dem Modell als Grenze angekündigt, beim Ausführen eines Werkzeugaufrufs aber nicht vollständig durchgesetzt. Unter bestimmten Bedingungen ließ sich ein Werkzeug aufrufen, das für die laufende Anfrage gar nicht freigegeben war.

Warum das hier steht. Zeigt den Unterschied zwischen einer angekündigten und einer durchgesetzten Grenze. Wer dem Modell mitteilt, was es darf, hat noch nichts verhindert — die Durchsetzung muss im Anwendungscode liegen.

Verwandt: tool missbrauch · confused deputy agent

Quellen: NVD-Eintrag · Herstellerangabe

API-Schlüssel im Klartext bei browser-use web-ui

CVE-2026-82640 · veröffentlicht 30.08.2026 · CVSS 5.5 (mittel) · CWE-312 browser-use web-ui (Agenten-Oberfläche) — betroffen: 2.0.0 bis 3.0.0

Die Oberfläche schreibt eingetragene API-Schlüssel unverschlüsselt und ohne Zugriffsbeschränkung in Dateien mit vorhersagbaren Namen im temporären Einstellungsverzeichnis. Wer dieses Verzeichnis lesen kann, erhält die Schlüssel der angebundenen Anbieter.

Warum das hier steht. Ein Agent mit Browserzugriff verarbeitet naturgemäß nicht vertrauenswürdige Inhalte. Liegen daneben Zugangsdaten im Klartext, ist der Weg von der Injektion zum Schlüsseldiebstahl kurz.

Verwandt: datenexfiltration link

Quellen: NVD-Eintrag

Täuschung über den Assistenten in Microsoft Edge für iOS

CVE-2026-70331 · veröffentlicht 28.08.2026 · CVSS 5.4 (mittel) Microsoft Edge für iOS (Browser mit Assistent)

Unzureichende Neutralisierung von Eingaben, die zur Ansteuerung des Sprachmodells verwendet werden, erlaubte einem unbefugten Angreifer eine Täuschung über das Netz.

Warum das hier steht. Einer der wenigen Einträge, in denen die NVD die Ansteuerung eines Sprachmodells ausdrücklich als Schwachstellenklasse benennt. Ein Beleg dafür, dass Prompt Injection in der Schwachstellenverwaltung ankommt — bislang die Ausnahme.

Verwandt: indirekte prompt injection · hidden text html

Quellen: NVD-Eintrag · Herstellerangabe

Codeausführung in Agno durch Prompt Injection

CVE-2026-37003 · veröffentlicht 27.08.2026 · CVSS 9.8 (kritisch) · CWE-94 Agno (Agenten-Framework) — betroffen: bis einschließlich 2.5.8

Die Komponenten PythonTools und ShellTools reichen ungeprüfte, vom Sprachmodell erzeugte Argumente direkt an ausführende Funktionen weiter — unter anderem exec(), runpy.run_path() und subprocess.run(). Wer Anweisungen in Inhalte einbettet, die der Agent verarbeitet, etwa eine Webseite oder ein Dokument, kann darüber beliebigen Code auf dem Host ausführen.

Warum das hier steht. Der Lehrbuchfall: Eine indirekte Prompt Injection wird zur Codeausführung, weil die Modellausgabe ungeprüft in eine ausführende Funktion fließt. Genau die Verbindung, die OWASP zwischen LLM01 und LLM10 beschreibt.

Hinweis. Die NVD führte für diesen Eintrag bis Anfang September 2026 keinen CVSS-Wert; seit dem Nachtrag steht er, wie CVE-2026-37006, bei 9.8.

Verwandt: indirekte prompt injection · code injection via llm · tool missbrauch

Quellen: NVD-Eintrag

Race Condition beim Copilot in Microsoft Edge

CVE-2026-55945 · veröffentlicht 03.07.2026 · CVSS 4.2 (mittel) · CWE-362 Microsoft Edge (Copilot) (Browser mit Assistent) — betroffen: vor 150.0.4078.48, behoben in 150.0.4078.48

Eine Race Condition bei gemeinsam genutzten Ressourcen erlaubte einem berechtigten Angreifer, lokal Informationen abzugreifen. Microsoft vergab die CVE für den Edge-Teil der BragJack-Forschung.

Warum das hier steht. Die zweite CVE aus BragJack. Der niedrige CVSS-Wert beschreibt die Einzellücke, nicht die Kette: Im Zusammenspiel mit einer Erweiterung ließ sich der Edge-Agent übernehmen.

Quellen: NVD-Eintrag · Herstellerangabe · Forschung

Aufnahme und Prüfung

Aufgenommen wird eine Schwachstelle, wenn sie ein Sprachmodell, einen darauf gestützten Agenten oder dessen Werkzeugkette betrifft UND ihre Ausnutzung mit dem Verhalten des Modells oder seiner Ein- und Ausgaben zusammenhängt. Klassische Schwachstellen in Software, die zufällig auch neben einem Modell läuft, gehören nicht hierher.

Alle Angaben zu Kennung, Datum, CVSS-Wert und CWE-Klasse stammen aus der NVD-API und werden von scripts/cve-pruefen.mjs maschinell gegen sie abgeglichen. Ein Wert, der abweicht, bricht die Prüfung.

Im Zusammenhang

• Belegte Vorfälle mit Prompt Injection
• OWASP Top 10 für LLM-Anwendungen 2026
• Verzeichnis der Angriffstechniken
• Agenten absichern