intelligent piXel

Lagebild

1.016Meldungen gelesen
1000betreffen Sie
16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche BSI CERT-Bund Wird ausgenutzt

    OpenSSH

    CVE-2026-123158

    Betrifft Sie, wenn Sie OpenSSH vor 10.6p2 unter Linux mit musl libc ohne PAM einsetzen und bestimmte Kontokonfigurationen vorliegen, bei denen Passwörter mit 256 bis 1024 Zeichen angenommen werden.

    Die NVD beschreibt eine Umgehung der Passwortanmeldung unter diesen Voraussetzungen. Das BSI schreibt, dass ein entfernter, anonymer Angreifer dadurch Administratorrechte erlangen kann.

    Das BSI bewertet die Schwachstelle als hoch. MITRE bewertet sie mit 8.1, also hoch. Sie steht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quellen nennen keine behobene Fassung und keine Überbrückung.

    Betroffen
    OpenSSH
    CVSS
    8.1
    Quelle MITRE
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    16,50 %
    Perzentil 97,0
    Art
    CWE-394
    Aktiv ausgenutzt
    KEV seit 09.11.2026
    Veröffentlicht
    05.11.2026
    Meldung vom 06.11.2026

    Quellen: NVD · EPSS · CISA KEV · BSI CERT-Bund

  2. Diese Woche Wordfence

    ELEX WordPress HelpDesk & Customer Ticketing System

    CVE-2026-114630

    Betrifft Sie, wenn Sie das WordPress Plugin ELEX WordPress HelpDesk & Customer Ticketing System bis einschließlich 3.3.8 einsetzen.

    Die Lücke erlaubt laut Quelle die Löschung beliebiger Dateien auf dem Server. Dafür ist keine Anmeldung nötig. Ursache ist eine unzureichende Prüfung des Dateipfads in der Funktion factory_reset.

    Ich stufe sie als kritisch ein. Wordfence bewertet sie mit 9.1, also kritisch. Die Quelle nennt als mögliche Folge eine Ausführung von Schadcode, wenn die passende Datei gelöscht wird, etwa wp-config.php.

    Aktualisieren Sie auf 3.3.9.

    Betroffen
    ELEX WordPress HelpDesk & Customer Ticketing System
    Behoben in
    3.3.9
    CVSS
    9.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    1,32 %
    Perzentil 71,1
    Art
    CWE-22
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Product Feed Manager for WooCommerce

    CVE-2026-87964

    Betrifft Sie, wenn Sie das Plugin bis einschließlich Version 8.0.26 einsetzen und ein Angreifer mit Shop-Manager-Rechten oder höher sich anmelden kann.

    Die Lücke ist eine PHP-Code-Injection. Wordfence bewertet sie mit 7.2, also hoch. Sie setzt eine Anmeldung mit Shop-Manager-Rechten oder höher voraus und kann laut Quelle zur Ausführung beliebigen PHP-Codes, zur Ausweitung von Rechten sowie zu vollständiger Codeausführung aus der Ferne und zur Übernahme der Website führen.

    Ich stufe sie als diese Woche ein. Die Quelle nennt keine Ausnutzungswahrscheinlichkeit, und die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf Version 8.0.27.

    Betroffen
    Product Feed Manager for WooCommerce
    Behoben in
    8.0.27
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,95 %
    Perzentil 61,4
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Live2DWebCanvas

    CVE-2026-92895

    Betrifft Sie, wenn Sie Live2DWebCanvas bis einschließlich 2.2.1 einsetzen.

    Live2DWebCanvas akzeptiert beliebige Datei-Uploads ohne Anmeldung. Dateien können ausführbar sein. Eine Remote-Codeausführung ist möglich, wenn die Einstellung apiType auf custom-local steht. Diese Option ist nicht voreingestellt, erfordert eine kostenpflichtige Lizenz und schreibt REST-Nonce sowie einmalige Sitzungstoken in jede Frontend-Seite.

    Wordfence bewertet die Lücke mit 8.1, also hoch. Ich stufe sie trotz der zusätzlichen Bedingung für die mögliche Codeausführung als Befund für diese Woche ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Live2DWebCanvas
    CVSS
    8.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,92 %
    Perzentil 60,5
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    BuddyForms

    CVE-2026-107622

    Betrifft Sie, wenn Sie eine verwundbare BuddyForms-Fassung einsetzen, ein öffentliches Formular haben und die WordPress-Registrierung für alle offen ist.

    Die Quelle beschreibt eine kritische Rechteausweitung ohne Anmeldung durch eine Verwechslung des Formulartyps. Sie bewertet die Lücke mit 9.8, also kritisch, nach Wordfence. Ein Angreifer kann dadurch ein Konto mit Administratorrechten anlegen und die Website vollständig übernehmen.

    Die Lücke steht nicht im KEV-Katalog der CISA. Ich stufe sie wegen der fehlenden Anmeldung und der möglichen Administratorrechte trotzdem als relevant ein.

    Aktualisieren Sie BuddyForms auf 2.10.6.

    Betroffen
    BuddyForms
    Behoben in
    2.10.6
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,74 %
    Perzentil 54,8
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    WPSyncSheets For Contact Form 7

    CVE-2026-104010

    Betrifft Sie, wenn Sie WPSyncSheets For Contact Form 7 bis einschließlich Version 1.8.0 einsetzen. Die Quelle nennt keine weitere Voraussetzung.

    Die Quelle beschreibt eine PHP Object Injection in WPSyncSheets For Contact Form 7. Nicht angemeldete Angreifer können dadurch Code auf dem Server ausführen. Die erfolgreiche Codeausführung setzt laut Quelle ein konfiguriertes Google-Sheets-Zugriffstoken voraus. Die zugrunde liegende PHP Object Injection tritt laut Quelle unabhängig davon auf.

    Wordfence bewertet die Lücke mit 7,5, also hoch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf Version 1.8.1.

    Betroffen
    WPSyncSheets For Contact Form 7
    Behoben in
    1.8.1
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,58 %
    Perzentil 47,9
    Art
    CWE-502
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche BSI CERT-Bund

    MariaDB

    CVE-2026-102523

    Betrifft Sie, wenn Sie MariaDB einsetzen und ein angemeldeter Datenbankbenutzer einen Partitionsnamen verwendet, der Dateinamen-Escapierung erfordert.

    MariaDB wendet beim Umwandeln einer Partition die Dateinamen-Escapierung nicht auf benutzerdefinierte Partitionsnamen an. Ein angemeldeter Datenbankbenutzer kann dadurch auf Tabellendateien zugreifen, für die er nicht berechtigt ist, und sie lesen oder verändern.

    Die CVSS-Bewertung bei GitHub lautet 8,0, also hoch. Das BSI stuft die Schwachstelle ebenfalls als hoch ein.

    Aktualisieren Sie auf 13.0.2. Für ältere Zweige nennt die Quelle 12.3.3, 11.8.9, 11.4.13 und 10.11.19.

    Betroffen
    MariaDB
    CVSS
    8.0
    Quelle GitHub
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,56 %
    Perzentil 47,1
    Art
    CWE-73
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026
    aktualisiert am 09.11.2026

    Quellen: NVD · EPSS · BSI CERT-Bund

  8. Diese Woche Wordfence

    Advanced Members for ACF

    CVE-2026-116624

    Betrifft Sie, wenn Sie Advanced Members for ACF bis einschließlich 1.3.0 einsetzen und ein angemeldeter Benutzer Subscriber-Rechte oder höher hat.

    Die Erweiterung enthält eine Rechteausweitung. Ein angemeldeter Benutzer mit Subscriber-Rechten oder höher kann das Passwort des primären Administratorkontos überschreiben und dadurch vollständigen administrativen Zugriff auf die Website erhalten.

    Wordfence bewertet die Lücke mit 8,8, also hoch. Ich stufe sie trotz erforderlicher Anmeldung als diese Woche ein, weil die Quelle den Zugriff auf das primäre Administratorkonto beschreibt.

    Aktualisieren Sie Advanced Members for ACF auf 1.3.1.

    Betroffen
    Advanced Members for ACF
    Behoben in
    1.3.1
    CVSS
    8.8
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,50 %
    Perzentil 42,9
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Everest Forms

    CVE-2026-89101

    Betrifft Sie, wenn Sie Everest Forms bis einschließlich 3.6.2 einsetzen und ein angemeldeter Benutzer Custom-Rechte oder höhere Rechte hat.

    Wordfence beschreibt eine unsichere direkte Objektreferenz. Angemeldete Angreifer mit Custom-Rechten oder höheren Rechten können Formulare und Einträge anderer Benutzer ansehen, lesen und dauerhaft löschen, unabhängig vom Eigentum am Formular.

    Wordfence bewertet die Lücke mit 6,5, also mittel. Die Quelle nennt als mögliche Inhalte auch personenbezogene Daten aus öffentlichen Kontakt- und Leadformularen.

    Aktualisieren Sie auf 3.6.3.

    Betroffen
    Everest Forms
    Behoben in
    3.6.3
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,41 %
    Perzentil 36,0
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports

    CVE-2026-109977

    Betrifft Sie, wenn Sie YaySMTP bis einschließlich 2.7.8 einsetzen und ein Angreifer sich mit Administratorrechten oder höher anmelden kann.

    Ich stufe die Lücke als mittel ein. Wordfence bewertet sie mit 4.9, also mittel. Es handelt sich um eine zeitbasierte SQL-Injection durch unzureichende Verarbeitung einer Benutzereingabe.

    Ein authentifizierter Angreifer mit Administratorrechten oder höher kann zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und damit sensible Informationen aus der Datenbank auslesen.

    Aktualisieren Sie YaySMTP auf 2.7.9.

    Betroffen
    YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports
    Behoben in
    2.7.9
    CVSS
    4.9
    Quelle Wordfence
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,40 %
    Perzentil 34,8
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

16 geprüft und verworfen, mit Begründung
  • 110 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 10 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 9 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 7 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 6 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 5 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • CVE-2016-10044Linux-Kernel, lokale Rechteausweitung über aio_mount, der Angriff erfordert bereits einen lokalen Benutzer und die historische Lücke ist für den üblichen Serverbetrieb nicht von besonderer Tragweite.
  • CVE-2024-57950Linux-Kernel, lokale Rechteausweitung und Denial of Service. Der Angriff erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2020-36789Linux-Kernel im CAN-Netzwerkstapel, die Schwachstelle setzt einen lokalen Angreifer und CAN-Hardware voraus und betrifft damit eine spezielle Hardwareumgebung.
  • CVE-2025-37800Linux-Kernel, der beschriebene Absturz erfordert den lokalen Zugriff eines Prozesses auf das Geräteattribut und ist zudem auf einen Denial of Service begrenzt.
  • CVE-2025-38177Linux-Kernel, die gemeldete Denial-of-Service-Schwachstelle erfordert einen lokalen Angreifer mit Konto oder laufendem Prozess.
  • CVE-2025-38236Linux-Kernel, lokale Use-after-free-Schwachstelle, deren Ausnutzung ein bereits vorhandenes Konto oder einen laufenden Prozess auf der Maschine voraussetzt.
  • CVE-2020-24588Linux-Kernel im 802.11-WLAN-Stapel, die Ausnutzung setzt WLAN-Hardware und den Empfang speziell präparierter Funkrahmen voraus.
  • CVE-2022-50583Linux-Kernel, die konkrete Schwachstelle betrifft die RAID0- und RAID10-Blockgerätebehandlung und führt zu einem lokalen Denial of Service, nicht zu einem entfernten Angriff.
  • CVE-2026-13149Red Hat Ansible Automation Platform ist eine Unternehmensplattform zur Automatisierung und kein typischer Bestandteil eines Linux-Webservers mit WordPress.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-115965BuddyPress, SQL-Injection ab der Abonnentenrolle, ist bereits mit CVE-2026-111850 als dieselbe Schwachstelle mit identischer fehlerbereinigter Version 14.5.3 erfasst.
  • CVE-2026-119370The Events Calendar, identische Meldung zur gespeicherten XSS bis Version 6.18.2, daher eine Doppelung von CVE-2026-119369.
  • CVE-2026-120843Posts Table with Search & Sort betrifft dieselbe gespeicherte Cross-Site-Scripting-Schwachstelle bis Version 1.4.14 wie CVE-2026-118189 und ist daher eine Doppelung.
  • bsi:https://wid.cert-bund.de/portal/wid/securityadvisory?namQuellenlage zu duenn fuer einen eigenen Eintrag. Die Meldung besteht aus einem Satz, alles Weitere waere geraten.