intelligent piXel

Lagebild

778Meldungen gelesen
600betreffen Sie
178geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 600 Einträgen
  1. Diese Woche BSI CERT-Bund

    libarchive

    CVE-2026-14164

    Betrifft Sie, wenn Anwendungen auf Ihren Systemen libarchive zum Verarbeiten von RAR5-Archiven beim Entpacken verwenden.

    Eine Double-Free-Schwachstelle im RAR5-Reader von libarchive. Beim Verarbeiten eines präparierten RAR5-Archivs können Anwendungen mit der betroffenen Bibliothek unerwartet beendet werden. Die Folge ist ein Denial of Service.

    Ein entfernter, anonymer Angreifer kann die Schwachstelle für einen Denial-of-Service-Angriff ausnutzen. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    libarchive
    CVSS
    7.5
    Quelle secalert@redhat.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,49 %
    Perzentil 40,9
    Art
    CWE-415
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · BSI CERT-Bund

  2. Diese Woche Wordfence

    Mapster WP Maps

    CVE-2026-12954

    Betrifft Sie, wenn Sie Mapster WP Maps bis einschließlich 1.23.0 einsetzen und ein angemeldeter Benutzer mindestens die Subscriber-Rolle hat.

    Mapster WP Maps erlaubt in den betroffenen Fassungen das Schreiben beliebiger Benutzer-Metadaten durch angemeldete Angreifer ab der Subscriber-Rolle. Laut Quelle fehlen dabei eine Nonce-Prüfung, eine Berechtigungsprüfung und eine Zulassungsliste für den Metadatenschlüssel.

    Ich stufe die Lücke trotz erforderlicher Anmeldung als relevant ein. Eine Rechteausweitung ist laut Quelle nicht möglich. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzt geführte Lücke.

    Aktualisieren Sie Mapster WP Maps auf 1.24.0.

    Betroffen
    Mapster WP Maps
    Behoben in
    1.24.0
    CVSS
    8.8
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,46 %
    Perzentil 37,0
    Art
    CWE-20
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    MgoSync

    CVE-2026-92404

    Betrifft Sie, wenn Sie das WordPress-Plugin MgoSync in Version 2.1.5 oder 2.1.6 einsetzen, weil die Quelle fehlende Zugriffskontrollen beschreibt.

    Die Quelle beschreibt fehlende Zugriffskontrollen an einem REST-API-Endpunkt. Dadurch können nicht angemeldete Nutzer gespeicherte WooCommerce-API-Zugangsdaten abrufen, einschließlich eines Schlüssels mit Lese- und Schreibrechten und des zugehörigen Secrets.

    Wordfence nennt außerdem die Preisgabe vertraulicher Benutzer- oder Konfigurationsdaten.

    Aktualisieren Sie auf 2.1.7.

    Betroffen
    MgoSync – European dropshipping and suppliers
    Behoben in
    2.1.7
    CVSS
    7.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,43 %
    Perzentil 35,1
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Download Manager

    CVE-2026-92714

    Betrifft Sie, wenn Sie Download Manager bis einschließlich 3.3.68 einsetzen und ein angemeldeter Benutzer Autorenrechte oder höhere Rechte hat.

    Ich stufe die Lücke als unsichere Objektprüfung ein. Ein angemeldeter Angreifer mit Autorenrechten oder höheren Rechten kann beliebige Download-Manager-Pakete anderer Benutzer duplizieren, auch Pakete von Administratoren.

    Beim Duplikat werden unter anderem geschützte Dateiverweise, rollenbasierte Zugriffsbeschränkungen und Passworteinstellungen übernommen. Das Duplikat kann anschließend bearbeitet werden, um diese Beschränkungen zu entfernen und zuvor geschützte Dateien herunterzuladen. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 3.3.69; die Quelle nennt keine Überbrückung.

    Betroffen
    Download Manager
    Behoben in
    3.3.69
    CVSS
    6.5
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,41 %
    Perzentil 33,1
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Custom Twitter Feeds – A Tweets Widget or X Feed Widget

    CVE-2026-84909

    Betrifft Sie, wenn Sie Custom Twitter Feeds bis 2.8.0 einsetzen und Zugriffstoken mit 0 oder mehreren Legacy-Feeds eingerichtet sind.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Bereinigung von Eingaben und fehlende Maskierung bei der Ausgabe.

    Angemeldete Angreifer ab der Rolle Beitragender können Webskripte in Seiten einfügen. Diese werden ausgeführt, wenn jemand eine betroffene Seite aufruft. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.9.0.

    Betroffen
    Custom Twitter Feeds – A Tweets Widget or X Feed Widget
    Behoben in
    2.9.0
    CVSS
    6.4
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,41 %
    Perzentil 32,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Booking Calendar

    CVE-2026-92561

    Betrifft Sie, wenn Sie Booking Calendar bis einschließlich 11.8.2 einsetzen.

    Ich stufe sie als relevante Cross-Site-Scripting-Schwachstelle ein. Die Quelle beschreibt unzureichende Eingabebereinigung und Ausgabe-Escaping beim Parameter "options".

    Unangemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, wenn sie einen Nutzer erfolgreich zu einer Aktion wie dem Klicken auf einen Link bringen. Die Quelle nennt eine standardmäßig deaktivierte Nonce-Prüfung als Grund dafür, dass betroffene Anfragen ohne Überprüfung den verwundbaren Verarbeitungspunkt erreichen. Die Lücke steht nicht im KEV-Katalog der CISA.

    Aktualisieren Sie Booking Calendar auf 11.8.3.

    Betroffen
    Booking Calendar
    Behoben in
    11.8.3
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,41 %
    Perzentil 32,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Newsletter

    CVE-2026-90981

    Betrifft Sie, wenn Sie Newsletter bis einschließlich 9.3.8 einsetzen und ein angemeldeter Administrator dazu gebracht werden kann, einen Link zu öffnen.

    Ich stufe die Lücke als reflektiertes Cross-Site-Scripting ein. Unangemeldete Angreifer können beliebige Skripte in Seiten einschleusen, wenn sie einen angemeldeten Administrator zu einer entsprechenden Aktion bringen. Die Quelle nennt unzureichende Eingabeprüfung und Ausgabeaufbereitung als Ursache.

    Für die erfolgreiche Ausnutzung muss das Opfer als Administrator angemeldet sein. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 9.3.9. Die Quelle nennt keine Überbrückung.

    Betroffen
    Newsletter – Send awesome emails from WordPress
    Behoben in
    9.3.9
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 29,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    NEX-Forms – Ultimate Forms Plugin for WordPress

    CVE-2026-75961

    Betrifft Sie, wenn Sie NEX-Forms einsetzen und ein Angreifer sich mit benutzerdefinierten Rechten oder höheren Rechten anmelden kann.

    Die Quelle beschreibt eine SQL-Injection durch unzureichende Maskierung und unzureichende Vorbereitung einer SQL-Abfrage. Angemeldete Angreifer mit benutzerdefinierten Rechten oder höheren Rechten können dadurch zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und vertrauliche Informationen aus der Datenbank auslesen.

    Ich stufe sie trotz des mittleren CVSS-Werts als relevant ein, weil die Quelle eine konkrete Auswirkung nennt. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie NEX-Forms auf 9.3.1.

    Betroffen
    NEX-Forms – Ultimate Forms Plugin for WordPress
    Behoben in
    9.3.1
    CVSS
    4.9
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 31,6
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Qi Addons For Elementor

    CVE-2026-92249

    Betrifft Sie, wenn Sie Qi Addons For Elementor bis einschließlich 1.11 einsetzen, das Inhaltsverzeichnis-Widget auf der WordPress-Suchergebnisseite rendert und die Begrenzung auf den Hauptseiteninhalt auf Nein steht.

    Ich stufe die Meldung als reflektiertes, DOM-basiertes Cross-Site-Scripting ein. Die Quelle sagt, dass nicht angemeldete Angreifer beliebige Webskripte in Seiten einschleusen können, die bei einem Zugriff auf eine manipulierte Seite ausgeführt werden.

    Die Quelle nennt als notwendige Bedingungen ein Inhaltsverzeichnis-Widget in einer Vorlage für die Suchergebnisseite und die deaktivierte Begrenzung auf den Hauptseiteninhalt. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 1.11.1.

    Betroffen
    Qi Addons For Elementor
    Behoben in
    1.11.1
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,37 %
    Perzentil 28,0
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    ShopLentor

    CVE-2026-92554

    Betrifft Sie, wenn Sie ShopLentor in einer Fassung bis einschließlich 3.5.1 einsetzen.

    Ich stufe die Meldung als relevant ein. ShopLentor verarbeitet einen Query-String-Parameternamen unzureichend und gibt ihn ohne ausreichende Ausgabe-Escapierung in ein HTML-Attribut zurück. Dadurch entsteht reflektiertes Cross-Site-Scripting.

    Laut Quelle können nicht angemeldete Angreifer beliebige Webskripte in Seiten einschleusen, wenn sie einen Benutzer erfolgreich zu einer Aktion wie dem Anklicken eines Links bringen. Die Quelle nennt das WL: Product Horizontal Filter Widget als Auslöser.

    Aktualisieren Sie ShopLentor auf 3.5.2.

    Betroffen
    ShopLentor – All-in-One WooCommerce Growth & Store Enhancement Plugin
    Behoben in
    3.5.2
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,37 %
    Perzentil 28,0
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

178 geprüft und verworfen, mit Begründung
  • 126 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 19 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 15 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 12 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 9 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 9 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • CVE-2018-1000204Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2022-49202Linux-Kernel, Fehler im Bluetooth-Treiber hci_uart für spezielle Bluetooth-Hardware mit möglichem Denial of Service, diese hardwareabhängige lokale Kernel-Störung trägt keinen Eintrag für das allgemeine Serverlagebild.
  • CVE-2025-39964Linux-Kernel, Fehler im Krypto-Subsystem. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2025-40178Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50712Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-42719Linux-Kernel, Fehler im WLAN-Stack. Betrifft nur WLAN-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-71102Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-33845GnuTLS, Lücke im DTLS-Handshake, DTLS wird auf typischen Webservern mit WordPress nicht verwendet.
  • CVE-2022-30789Linux-Kernel, lokale Rechteausweitung in NTFS-3G. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, EPSS 0,004 und nicht auf der KEV-Liste.
  • CVE-2026-74734Linux-Kernel, Fehler im Firewire-Treiber beim Entladen nach fehlgeschlagener Initialisierung. Erfordert spezielle Firewire-Hardware und einen bereits laufenden Prozess, aus der Ferne nicht auslösbar.
  • CVE-2026-80758Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2026-77860Unbound ist ein eigener DNS-Auflösedienst und gehört nicht zum typischen Webserverbetrieb; die Schwachstellen setzen einen betriebenen Unbound-Dienst mit entsprechender DNS-Konfiguration voraus.
  • CVE-2026-96744MongoDB-Treiber und die Laravel-Integration gehören zu einer MongoDB-Anwendungsumgebung, nicht zum üblichen WordPress-Stack mit MariaDB oder MySQL; die beschriebene Schwachstelle erfordert zudem einen authentifizierten Nutzer.
  • CVE-2026-87775Tz Weekly Radio Schedule, identische Produkt-, Versions- und Angriffsdaten liegen bereits unter CVE-2026-87774 vor, daher handelt es sich um eine Doppelung.
  • CVE-2026-92541Import and export users and customers beschreibt dieselbe fehlerhafte Berechtigungsprüfung und denselben Fix wie CVE-2026-92540, daher wäre ein eigener Eintrag eine Doppelung.
  • CVE-2026-16542Die SSRF in der WP-Erweiterung Import and export users and customers erfordert ein bereits privilegiertes Administratorkonto und ist daher keine von außen ohne Anmeldung auslösbare Schwachstelle.
  • CVE-2026-76559Die SSRF in WP Import Export Lite erfordert eine Import-Berechtigung, die regelmäßig ein bereits privilegiertes Administratorkonto voraussetzt, und ist daher keine von außen ohne Anmeldung auslösbare Schwachstelle.
  • CVE-2024-36476Linux-Kernel, NULL-Zeiger-Dereferenz im speziellen RDMA-Treiber, benötigt lokalen Zugriff und die RDMA-Funktion und verursacht dabei nur einen Denial-of-Service.
  • CVE-2025-15281GNU libc, Absturz bei wordexp mit WRDE_REUSE und WRDE_APPEND. Erfordert ein Programm, das diese Funktion mit fremden Daten füttert, und ist nicht aktiv ausgenutzt.
  • CVE-2026-33535ImageMagick, Denial of Service über den speziellen X11-Display-Pfad; ein Absturz ohne Datenabfluss ist für dieses Lagebild keine vorrangige Meldung.