- Interne Postgres-Datenbank:
- Die PostgreSQL-Version der internen Datenbank wurde von v13 auf v18 aktualisiert
- Demo-Migration:
- Testen Sie den Migrator sofort mit einem vorab geladenen HR-Beispielschema – keine aktive Oracle-Datenbankverbindung erforderlich
- Starten Sie eine Demo direkt aus der Migrationsliste über die neue Aktion „Demo-Migration“ im Drei-Punkte-Menü
- KI-Assistent (nur in der Enterprise-Edition):
- Klarere Fehlermeldungen, wenn der KI-Assistent nicht verwendet werden kann. Benutzer werden nun benachrichtigt, wenn er nicht konfiguriert ist, der LLM-Server nicht erreicht werden kann oder der API-Schlüssel ungültig ist – wobei jede Meldung dazu rät, sich an CYBERTEC zu wenden
- Optimierungen bei der Wartung der internen Datenbank:
- Aktualisierung der internen Datenbank auf eine maßgeschneiderte, vollständig verifizierte Infrastruktur, um Risiken durch Standardpakete vollständig zu eliminieren und eine saubere Systemumgebung zu gewährleisten
- Weiße Seite beim Öffnen einer Migration mit der Trial Edition
- Der Transpilations-Tab zeigt nicht alle gefunden Empfehlungen an
- Code Editoren verlieren gelegentlich ihre Modifikationen
- Transpilations-Tab flackert im Brave Browser
- CVE-2026-21884, CVE-2026-22029 und CVE-2026-22030:
react-router (Abhängigkeit zur Umsetzung des Routings in der GUI; die betroffene Feature wird nicht verwendet, keine Risiko) - CVE-2026-34077:
react-router (Produktionsabhängigkeit zur Umsetzung des Routings in der GUI; Denial-of-Service durch reflektierte Nutzereingaben in der Framework-Mode-Single-Fetch-Funktion; die betroffene Funktion wird nicht verwendet, kein Risiko) - CVE-2026-42342:
react-router (Produktionsabhängigkeit zur Umsetzung des Routings in der GUI; Denial-of-Service durch unbegrenzte Pfadausweitung im __manifest-Endpunkt des Framework-Mode; die betroffene Funktion wird nicht verwendet, kein Risiko) - CVE-2025-13465 und CVE-2026-4800:
lodash (Abhängigkeit für Hilfsfunktionen; das betroffene Feature ist nicht zu Nutzereingaben offen, kein Risiko) - CVE-2025-12758:
validator (Abhängigkeit von class-validator; wird zur Eingabevalidierung verwendet; betroffene Feature wird nicht verwendet, kein Risiko) - CVE-2026-23745:
tar (Abhängigkeit von node-gyp und cacache; betrifft nur die Build-Zeit, keine Risiko) - CVE-2026-55388:
piscina (transitive Abhängigkeit von @pgtyped/cli für die SQL-Typgenerierung während des Build-Prozesses; Prototype-Pollution-Gadget, das über vererbte options.filename zu Remote Code Execution führen kann; wird nicht in der Produktionsumgebung verwendet) - GHSA-2rxc-gjrp-vjhx:
anstream (Abhängigkeit von clap um CLI Argumente zu parsen) - CVE-2026-27606:
rollup (Abhängigkeit von vite für automatisierte Tests; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-53571:
vite (Abhängigkeit von vitest für automatisierte Tests; wird nicht in der Produktionsumgebung verwendet): auf Windows konnte server.fs.deny über NTFS Alternate Data Streams oder 8.3-Kurznamen umgangen werden, wenn der Dev-Server im Netzwerk verfügbar ist - CVE-2026-33228, CVE-2026-32141:
flatted (Abhängigkeit von eslint für Code-Linting und -Formatierung nicht in der Produktion verwendet) - CVE-2026-27904:
minimatch (Entwicklungsabhängigkeit für Glob-Musterabgleich; ReDoS-Schwachstelle) - CVE-2026-33671:
picomatch (transitive Entwicklungsabhängigkeit für Glob-Musterabgleich; ReDoS-Schwachstelle durch gezielt erstellte Extglob-Muster wie +(a|aa), die zu katastrophalem Backtracking und Blockieren der Node.js Event-Loop führen; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-3520:
multer (direkte Abhängigkeit für Dateiuploads; potenzielles Risiko für Denial-of-Service) - CVE-2026-5079:
multer (direkte Produktionsabhängigkeit für Dateiuploads; Denial-of-Service durch tief verschachtelte Feldnamen) - CVE-2026-44705:
tmp (Entwicklungsabhängigkeit über cypress für automatisierte Tests; Pfad-Traversal durch nicht bereinigte prefix/postfix-Werte, die ein Verlassen des Verzeichnisses ermöglichen; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-44728:
@babel/plugin-transform-modules-systemjs (Abhängigkeit für den Build-Prozess; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-47429:
vitest (direkte Abhängigkeit für automatisierte Tests; wird nicht in der Produktionsumgebung verwendet) - GHSA-gv7w-rqvm-qjhr:
esbuild (direkte Abhängigkeit für das Projekt-Bundling; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-6321:
fast-uri (Abhängigkeit von ajv für die JSON-Schema-Validierung) - CVE-2026-26318:
systeminformation (Abhängigkeit von cypress für automatisierte Tests; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-12143:
form-data (transitive Abhängigkeit von superagent für HTTP-Tests und von @cypress/request für automatisierte Tests; CRLF-Injection durch nicht maskierte Multipart-Feldnamen und Dateinamen; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-46625:
js-cookie (transitive Produktionsabhängigkeit von react-use für die Browser-Cookie-Verarbeitung in der GUI; Per-Instance-Prototype-Hijack über assign() ermöglicht das Einschleusen von Cookie-Attributen; betroffene Funktion wird nicht verwendet, kein Risiko) - CVE-2026-4867:
path-to-regexp (transitive Produktionsabhängigkeit von express über routing-controllers für das HTTP-Routing im Backend; Denial-of-Service durch Routen mit drei oder mehr Parametern in einem einzelnen Segment; das betroffene Muster wird in keiner der Routen des Migrators verwendet, kein Risiko) - CVE-2026-4926:
path-to-regexp (transitive Produktionsabhängigkeit von express über routing-controllers für das HTTP-Routing im Backend; Denial-of-Service durch sequenzielle optionale Gruppen in Routenmustern, deren erzeugter regulärer Ausdruck exponentiell mit der Anzahl der Gruppen wächst; das betroffene Muster wird in keiner der Routen des Migrators verwendet, kein Risiko) - CVE-2026-27959:
koa (transitive Produktionsabhängigkeit von routing-controllers für das zugrundeliegende HTTP-Server-Framework im Backend; Host-Header-Injection über ctx.hostname/ctx.origin, die das Host-Header-Feld naiv parsen, ohne die RFC-3986-Hostname-Syntax zu validieren, wodurch ein vom Angreifer kontrollierter Wert wie evil.com:fake@legitimate.com als Hostname zurückgegeben werden kann; betroffene Funktion wird vom Migrator nicht verwendet, kein Risiko) - CVE-2026-53550:
js-yaml (transitive Entwicklungsabhängigkeit von eslint und cosmiconfig zum Parsen von YAML-Konfigurationsdateien während Entwicklung und Build; Denial-of-Service durch quadratische Komplexität in der Merge-Key-Verarbeitung (<<) bei wiederholten Aliasen, die zu CPU-Erschöpfung und Blockieren der Node.js Event-Loop führt; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-3449:
@tootallnate/once (Entwicklungsabhängigkeit, transitiv über node-gyp → make-fetch-happen → http-proxy-agent zum Abrufen von Paketen aus der npm-Registry während des Build-Prozesses; fehlerhafte Kontrollfluss-Skopierung bei der Promise-Auflösung bei Verwendung der AbortSignal-Option; wird nicht in der Produktionsumgebung verwendet) - CVE-2026-42338:
ip-address (transitive Entwicklungsabhängigkeit über socks → socks-proxy-agent → make-fetch-happen → node-gyp zum Erstellen nativer Node.js-Addons; Cross-Site-Scripting in den HTML-emittierenden Methoden group(), link() und spanAll() der Klasse Address6 sowie in AddressError.parseMessage, da vom Angreifer kontrollierte Inhalte ohne HTML-Maskierung in die zurückgegebene Zeichenkette eingebettet werden; wird nicht in der Produktionsumgebung verwendet) - GHSA-r4q5-vmmm-2653:
follow-redirects (transitive Entwicklungsabhängigkeit über http-server → http-proxy zum lokalen Bereitstellen des gebauten Frontends; beim Folgen einer Cross-Domain-Weiterleitung werden nur die Standard-Header authorization, proxy-authorization und cookie entfernt, während benutzerdefinierte Authentifizierungs-Header wie X-API-Key oder X-Auth-Token unverändert an das Weiterleitungsziel weitergeleitet und so an einen vom Angreifer kontrollierten Host durchsickern; wird nicht in der Produktionsumgebung verwendet) - GHSA-g7r4-m6w7-qqqr:
esbuild (transitive Entwicklungsabhängigkeit von vite über vitest für automatisierte Tests; wird nicht in der Produktionsumgebung verwendet): auf Windows ermöglicht Pfad-Traversal durch Backslash-Trennzeichen im servedir des Development-Servers das Lesen beliebiger Dateien außerhalb des konfigurierten Wurzelverzeichnisses - CVE-2026-8723:
qs (transitive Produktionsabhängigkeit von body-parser und express für das Parsen von HTTP-Anfragen im Backend; qs.stringify wirft einen synchronen TypeError, wenn die Funktion mit arrayFormat: 'comma' und encodeValuesOnly: true auf einem Array aufgerufen wird, das null oder undefined enthält, wodurch ein remote auslösbarer Denial-of-Service durch gezielt erstellte JSON-Anfragekörper ermöglicht wird; die betroffenen Optionen werden vom Migrator nicht verwendet, kein Risiko) - CVE-2026-41907:
uuid (direkte Produktionsabhängigkeit zur Erzeugung von RFC-4122-UUIDs im Backend und Frontend sowie transitive Produktionsabhängigkeit über @ngneat/falso zur Zufallsdatenerzeugung in Tests und über @cypress/request zur HTTP-Anfragensignierung bei automatisierten Tests; die API-Methoden v3(), v5() und v6() haben vom Aufrufer bereitgestellte Ausgabepuffer ohne Validierung des Offsets oder der Pufferlänge akzeptiert, wodurch stille Teilschreibvorgänge außerhalb des vorgesehenen 16-Byte-UUID-Bereichs möglich waren und potenziell fehlerhafte Kennungen erzeugt wurden; behoben durch Aktualisierung auf ^13.0.1 und Erzwingen derselben Version über resolutions für die transitiven Verwendungen) - CVE-2026-33532:
yaml (direkte Produktionsabhängigkeit im Backend zum Parsen und Serialisieren von YAML-Inhalten sowie transitive Entwicklungsabhängigkeit über cosmiconfig, lint-staged und openapi3-ts für Konfigurationsparsing, Pre-Commit-Hooks und OpenAPI-Dokumentgenerierung; die Knotenauflösungs-/-kompositionsphase nutzte unbeschränkte Rekursion, wodurch bereits ein kleines präpariertes YAML-Dokument mit tief verschachtelten Flow-Sequenzen (~2–10 KB) einen RangeError: Maximum call stack size exceeded auslösen und potenziell den Node.js-Prozess beenden konnte; behoben durch Aktualisierung auf ^2.8.3) - CVE-2026-24001:
diff (direkte Produktionsabhängigkeit im Frontend und transitive Produktionsabhängigkeit über @prantlf/jsonlint sowie transitive Entwicklungsabhängigkeit über ts-node für den zeilenweisen Vergleich des kompilierten TypeScript-Outputs in der interaktiven REPL; die Methoden parsePatch und applyPatch gerieten beim Parsen von Patches, deren Dateinamen-Header die Zeilenumbruchzeichen \r, \u2028 oder \u2029 enthielten, in eine Endlosschleife und verbrauchten unbegrenzt Speicher, wodurch bereits ein kleines präpariertes Patch einen Denial-of-Service durch Speichererschöpfung des Prozesses auslösen konnte; zusätzlich verstärkt eine ReDoS-Schwachstelle im Patch-Header mit kubischer Komplexität in Bezug auf dessen Länge die Auswirkungen; behoben durch Aktualisierung auf ^8.0.3) - CVE-2025-13466:
body-parser (direkte Produktionsabhängigkeit im Backend zum Parsen von URL-kodierten und anderen HTTP-Request-Bodys im express/routing-controllers-Stack; Versionen >= 2.2.0 < 2.2.1 haben URL-kodierte Payloads mit einer sehr großen Anzahl von Parametern ineffizient verarbeitet, wodurch ein Angreifer innerhalb des Standard-Request-Limits von 100 KB Tausende Parameter senden und eine erhöhte CPU- und Speicherauslastung verursachen konnte, was bei anhaltendem schädlichem Datenverkehr zu einer Verlangsamung des Dienstes oder zu teilweisen Ausfällen führen konnte; behoben durch Aktualisierung auf ^2.2.1) - CVE-2025-69873:
ajv (direkte Produktionsabhängigkeit im Frontend zum Kompilieren und Validieren von JSON-Schemas gegen vom Benutzer hochgeladene Migrationsdateien im Bulk-Create-Flow sowie transitive Produktionsabhängigkeit über @prantlf/jsonlint zum Parsen von JSON; wenn die $data-Option aktiviert ist, akzeptiert das pattern-Schlüsselwort Laufzeitdaten über JSON-Pointer, die ohne Validierung direkt an den JavaScript-RegExp()-Konstruktor weitergereicht werden, wodurch ein Angreifer ein präpariertes Regex-Muster wie ^(a|a)*$ einschleusen kann, dessen katastrophales Backtracking mit einer einzigen HTTP-Anfrage die CPU vollständig blockiert und somit einen vollständigen Denial-of-Service verursacht; behoben durch Aktualisierung auf ^8.18.0 und Erzwingen derselben Version über resolutions für die transitive Verwendung über @prantlf/jsonlint) - GHSA-j39j-6gw9-jw6h:
git2 (Entwicklungsabhängigkeit des Build-Skripts im Backend zur Ermittlung des aktuellen Git-Commit-Hashes; Versionen < 0.20.4 weisen undefiniertes Verhalten auf, da das Dereferenzieren der Buf-Struktur unmittelbar nach dem Aufruf von new() oder default() einen Null-Zeiger an slice::from_raw_parts übergibt, was gemäß dessen Safety-Vertrag einen nicht-null und korrekt ausgerichteten Zeiger auch für Null-Längen-Slices voraussetzt; wird nicht in der Produktionsumgebung verwendet)
